从下图的NTFS DBR可以得出$MFT的起始位置位于本分区的786432*8=6291456

跳转到6291456扇区，可以看到这是$MFT的起始扇区；

查看80属性的data runs，

可以看到这个$MFT分为多段存储，第一段起始簇号为786432，即786432*8=6291456扇区，第二段始簇号为786432+46505008=47291440，即(786432+46505008)*8=378331520扇区，第三段始簇号为786432+46505008+20260353=67551793，即(786432+46505008+20260353)*8=540414344扇区。

转载请注明：成都千喜数据恢复中心 » $MFT元文件80属性Data Runs分析