看以看见 datarecover.jpg 的 10H 属性为 1，表示该文件正被使用
转到该图片的文件记录
可以看见 datarecover.jpg 的 10H 属性为 1，表示该文件正被使用
删除该图片重新打开软件，获取快照
查找10H 属性中 00 表示该文件已经被删除
80H 属性中 94 27 01 H 表示该文件的大小（字节） ，31 4A 61 23 07 00 ,表示该文件数据的其实簇号为 072361H， 占用的簇个数为 4AH 个 ，
下面是 72361H 转换为十进制 467809，该文件数据的其实位置是 467809 簇
12794H 转换为 75668，该文件占用的大小为 75668 字节
对于数据恢复来说，虽然文件删除后所有的数据运行都能够在残留的 MFT 中找到，但是数据运行的个数越少即 文件碎片越少或者没有碎片，文件被覆盖的可能性就越小，数据恢复的概率也就越高。以下是手工恢复 NTFS 卷 中误删除文件的过程。
打开 winhex 软件，选择工具------打开磁盘
此时可以看见元数据和 datarecover.jpg
运用上面的数据进行恢复，位置----转到簇
会跳转到数据的起始位置---右击---选块开始
位置---转到偏移地址
右击---选快结束
选中所有要恢复的数据内容后，在选中的任意块上右击，选择 “ 编辑 ”|“ 复制选块 ”|“ 进入新文件 ”
将数据保存
恢复过后的照片