winhex修复mft

### 使用 WinHex 修复 NTFS 主文件表 (MFT)

#### 准备工作

为了确保能够安全有效地操作 MFT 文件，在启动任何实际修复之前，建议创建磁盘镜像备份。这可以防止进一步的数据丢失或破坏。

#### 打开并加载磁盘映像

通过 WinHex 加载需要修复的分区或整个物理驱动器：

1. 启动 WinHex 并选择 `File` -> `Open Disk or Image File...`
2. 浏览到目标设备路径或已制作好的磁盘映像文件
3. 设置合适的访问权限（只读模式用于初步诊断）

#### 定位 MFT 表位置

根据提供的信息[^1]，可以通过特定偏移量定位到 enjoy.txt 的 MFT 参考号及其对应的扇区地址。对于一般情况下的 MFT 查找，则应遵循标准 NTFS 结构布局来确定其起始簇的位置。

// 假设 $MFT 起始于 LBA 地址 n
LBA_of_MFT_start = n;

#### 检查 MFT 条目状态

一旦找到了 MFT 开始处，就可以逐条检查各个记录的状态标志以及属性列表中的重要字段。特别是关注那些被标记为删除但仍保留有有效数据指针的项目。

当遇到非驻留属性时，需特别注意解析 RunList 数据结构以获取完整的文件碎片分布信息[^2]:

struct RUNLIST {
    BYTE Length;      // 运行长度字节数
    BYTE Offset;      // 相对偏移量
};

#### 编辑受损条目

针对具体问题采取相应措施，比如修正错误链接计数、重建丢失链路或是清理残留垃圾等。编辑过程中务必谨慎行事，并随时准备回滚更改以防万一造成新的损害。

#### 验证修改效果

完成所有必要的调整之后，利用内置工具或其他第三方软件验证修复成果的有效性和完整性。确认无误后再考虑将改动应用至原介质之上。

---