硬盤(pán)NTFS分區MFT文件記錄結構
MFT文件記錄結構分析
主文件表MFT的文件記錄由記錄頭和屬性列表組成，由“FF FF FF FF”結束，一般大小為1K，或一個(gè)簇大小，記錄頭包括以下一些域：
偏移 長(cháng)度（字節） 屬性
0X00 4 標志，一定是“FILE”
0X04 2 更新序列US的偏移
0X06 2 更新序列號USN的大小與數組，包括第一個(gè)字節
0X08 8 日志文件序列號LSN
0X10 2 序列號（SN）
0X12 2 硬連接數
0X14 2 第一個(gè)屬性的偏移地址
0X16 2 標志，1表示記錄正在使用，2表示該記錄為目錄
0X18 4 記錄頭和屬性的總長(cháng)度，即文件記錄的實(shí)際長(cháng)度，
0X1C 4 總共分配給記錄的長(cháng)度
0X20 8 基本文件記錄中的文件索引號
0X28 2 下一屬性ID
0X2A 2 XP中使用，邊界
0X2C 4 XP中使用，本文件記錄號
每次記錄被修改都將導致日志文件序列號$LogFile Sequence Number（LSN）發(fā)生變化。
序列號Sequence Number（SN）用于記錄主文件表記錄被重復使用的次數。
硬連接數Hard Link Count記錄硬連接的數目，只出現在基本文件記錄中。
文件記錄的實(shí)際長(cháng)度是文件記錄在磁盤(pán)上實(shí)際占用的字節空間。
基本文件記錄中的文件索引號，對于基本文件記錄，其值為0，如果不為0，則是一個(gè)主文件表的文件索引號，指向所屬的基本文件記錄中的文件記錄號，在基本文件記錄中包含有擴展文件記錄的信息，存儲在“屬性列表ATTRIBUTE_LIST”屬性中。
屬性列表是可變長(cháng)度區，以“FF FF FF FF”結束，對于1K長(cháng)度的MFT記錄，屬性列表的起始偏移為0x30。
索引記錄結構分析
每一個(gè)索引記錄都是由一個(gè)標準的索引頭和一些包含索引鍵和索引數據的塊組成的。索引記錄的大小在引導記錄 $Boot中定義，一般總是4KB。
標準索引頭的結構如下：
偏移 大小 說(shuō)明
0X00 4 總是“INDX”
0X04 2 更新序號偏移
0X06 2 更新序列號USN的大小與排列，包括第一個(gè)字節
0X08 8 日志文件序列號LSN
0X10 8 該索引緩沖在索引分配中的索引VCN
0X18 4 索引入口的偏移（相對于0X18）
0X1C 4 索引入口的大?。ㄏ鄬τ?X18）
0X20 4 索引入口的分配大?。ㄏ鄬τ?X18）
0X24 1 非頁(yè)級節點(diǎn)為1（有子索引）
0X25 3 總是0
0X28 2 更新序列號
0X2A 2S-2 更新序列排列
常用索引列表
名稱(chēng) 索引 說(shuō)明
$I30 文件名 目錄使用
$SDH 安全描述 $SECURE
$SII 安全IDS $SECURE
$O 對象IDS $OBJID
$O 所有者IDS $QUOTA
$Q 配額 $QUOTA
$R 重解析點(diǎn) $REPARSE
再具體的就不再分析了，請自己查找操作系統的資料。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
