Winhex 工具

当一个加密卷被解密并挂载为逻辑驱动器（Logical Drive）后，WinHex 解析的是该卷内部的文件系统（通常为 FAT32、NTFS 或 exFAT）。用户看到的视图是操作系统层面的文件目录结构与底层数据恢复信息的结合。

一、 `$` 开头的系统元数据文件 (NTFS Metafiles)

如果在 WinHex 中看到大量以 $ 开头的文件（如 $MFT, $Bitmap, $LogFile），说明该卷使用的是 NTFS (New Technology File System) 文件系统。

这些文件通常对用户隐藏（Hidden/System 属性），但在 WinHex 等取证工具中可见。它们不是用户数据，而是定义文件系统本身的数据。

定义：NTFS 卷的核心数据库。
功能：卷上的每一个文件（包括 $MFT 自身）在表中都有一条记录。该记录存储了文件的所有属性：文件名、创建时间、权限、以及数据所在的物理位置（Data Runs）。
取证意义：它是数据恢复的核心。如果文件被删除，系统只是在 $MFT 中将该文件的记录标记为“未使用”，数据往往仍保留在磁盘上。

当加密卷被挂载到 Windows 系统时，操作系统会自动在卷根目录下创建辅助文件夹。这些不是加密容器自带的，而是挂载环境生成的。

在 WinHex 的文件列表中，还会看到特定的删除状态标识，这涉及文件系统的删除机制。

适用系统：FAT32 / exFAT。
原理：当 FAT 系统删除文件时，并不会抹去数据，而是将目录项（Directory Entry）中文件名的第一个字节修改为 0xE5（在 ASCII 扩展表中常显示为 σ 或在工具中显示为 ?）。
含义：这告诉系统“该文件名已废弃，其占用的空间可以被新数据覆盖”。
恢复：只要数据区未被覆盖，只需将首字母改回原字符即可恢复文件。