本视频演示了用MRT Pro的DE模块做镜像的三种方式。镜像是备份数据的过程，把原盘的数据备份的镜像盘。在镜像盘中对数据进行操作，不会破坏原始数据。 文件镜像: 从ATA0到ATA1 从ATA0 到MRT Image 从ATA0到File Image 下载地址： http://us.mrtlab.com/video/defilimge.rar

【场景描述】 在DE（或老DR）中使用FILE IMAGE文件作为目标设备进行数据恢复镜像，在镜像过程中重新更改了起始LBA，然后继续镜像，在某些情况下，会出现系统可用内存不断减少甚至假死的问题。 【问题原因】 这是微软一个系统API函数的bug，函数名称为FlushViewOfFile()，一定情况下调用该函数会失败，错误码为33，其后果是系统缓存中的

优盘文件系统（FOR C） 优盘上的数据按照其不同的特点和作用大致可分为 5 部分：MBR 区、DBR 区、FAT 区、FDT 区和 DATA 区。 主引导记录(MBR) 绝对扇区号为：MBR_LBA=0x00000000 处是主引导记录,等同位于硬盘的 0 磁道 0 柱面 1 扇区。 在总共 512 字节的主引导扇区中，MBR 只占

Windows 文件系统简介 1 Windows FSD （文件系统驱动程序）体系结构 Windows 2000/XP的FSD（File System Driver，文件系统驱动程序）分为本地FSD和远程FSD。 本地FSD：允许用户访问本地计算机上的数据 本地FSD负责向I/O管理器注册自己，当开始访问某个卷时，I/O管理器调用FSD来进行卷识别。 完成卷识别后，本地FSD创建一个设备

$SDS 数据流 Offset Size Description 0x00 4 Hash of Security Descriptor 0x04

系统文件 不同于FAT/FAT32分区固定的数据块布局，NTFS卷中所有的数据都以文件的方式保存，包括引导记录与目录等卷重要数据（在NTFS卷中重要数据块被称为 系统文件），这样就允许将卷重要数据存放到卷中的任何地方（除了引导记录），并且对于所有重要数据都有一个标准的方法对其进行操作。这个特性使得任意改变卷尺寸十分方便（在卷位

文件属性 记录 文件中的每个记录都是由属性组成。每个属性由相同的格式构成，首先是一个标准属性记录头，然后存放属性的专用数据。下面列出$AttrDef中定义的可用到的属性。 类型 操作系统 描述 0x10 STANDARD_INFORMATION

NTFS文件系统规范 基本数据类型 MFT 文件记录 文件记录是$MFT文件的基本组成部分，卷中的所有文件都由至少一个文件记录来描述，对于使用多个文件记录的文件，其第一个文件记录叫基本文件记录，其余的叫做扩展文件记录。 文件记录由记录头,数个文件属性和结束标志(0xFFFFFFFF)组成。 文件记录头格式： 名字