用途：分析 NTFS 卷的 $MFT，用于恢复已删除文件的元数据与内容线索、重建文件系统时间线，并检测时间戳篡改等反取证行为。
主要能力：删除文件后 MFT 记录被标记为非活动（InUse 标志清除），但元数据保留至被重新分配。可解析 MFT 记录头（FILE 签名、$LogFile 序列号、硬链接数、属性偏移、标志 0x01=InUse/0x02=Directory 等）及关键属性（0x10 $STANDARD_INFORMATION、0x30 $FILE_NAME、0x80 $DATA 等）。提供四种技术：用 MFTECmd 解析 $MFT 并筛选 InUse=FALSE；解析 USN 日志 $UsnJrnl:$J 识别删除事件（如 USN_REASON_FILE_DELETE=0x00000200）；用 LogFileParser 分析 $LogFile 中的 REDO/UNDO 操作（如 DeallocateFileRecordSegment）；提取 MFT 松弛空间中残留记录。还可与 $Recycle.Bin（RBCmd）、卷影副本交叉比对。
使用方式：需法证磁盘镜像（E01、raw/dd、VMDK、VHDX），工具包括 MFTECmd、analyzeMFT、FTK Imager、Arsenal Image Mounter、Timeline Explorer，Python 3.8+ 可编写自定义脚本。示例命令：MFTECmd.exe -f "C:\Evidence\$MFT" --csv C:\Output --csvf mft_full.csv；MFTECmd.exe -f "C:\Evidence\$J" --csv C:\Output --csvf usn_journal.csv；LogFileParser.exe -l "C:\Evidence\$LogFile" -o C:\Output。
适用场景：数字取证中的删除文件恢复、时间线重建、数据雕刻指引与反取证检测。
限制：需理解 NTFS 内部结构；MFT 记录被重新分配后元数据可能丢失；$LogFile 与 USN 日志有循环覆盖；具体恢复效果视镜像与覆盖情况而定；资料未提供收费、价格与平台支持信息。