analyzing-mft-for-deleted-file-recovery - NTFS MFT 删除文件恢复
分析 NTFS MFT 以恢复删除文件的元数据和内容
标签
更新于: 2026-06-30该技能可以做什么
- 解析 MFT 记录
- 识别已删除文件记录
- 提取 USN 日志条目
- 解析 $LogFile 事务
- 提取 MFT 剩余空间
- 比较 $SI 和 $FN 时间戳
- 交叉关联 MFT 与其他证据
输入
- 取证磁盘镜像
- $MFT 文件
- $UsnJrnl 文件
- $LogFile 文件
- $Recycle.Bin 文件夹
- 卷影副本
输出
- 已删除文件元数据
- MFT 分析 CSV
- USN 日志 CSV
- 时间线数据
- 剩余空间发现
- 时间戳篡改检测结果
要求
- MFTECmd 或 analyzeMFT
- FTK Imager 或 Arsenal Image Mounter
- Python 3.8+
- Timeline Explorer 或 Excel