网站制作还花钱,建设银行网站查询密码是啥,天合建设集团网站,福田公司在哪里一、Ntfs文件系统在磁盘上的分布一个ntfs文件系统由引导扇区、MFT(包含MFT元数据)和数据区组成。NTFS中存储了两份MFT备份以防MFT文件损坏#xff0c;两个MFT备份的具体起始位置都存储在引导扇区中。image.png二、引导扇区($Boot)引导扇区是从NTFS文件系统的第一个扇区开始两个MFT备份的具体起始位置都存储在引导扇区中。image.png二、引导扇区($Boot)引导扇区是从NTFS文件系统的第一个扇区开始以55 AA结尾。我们主要关注前88字节的信息其中重要的就是“NTFS”标识、扇区大小、每簇扇区数、MFT起始簇以及MFT备份MFTMirr位置这些信息。我们可以根据MFT起始簇信息找到MFT或者根据MFT备份MFTMirr位置找到MFT的另外一个MFT备份。如下图所示image.png1 typedef struct NTFS_BPB{ // 在cmd 输入 fsutil fsinfo ntfsinfo d: 查询 NTFS 信息2 UCHAR jmpCmd[3];3 UCHAR s_ntfs[8]; // NTFS 标志4 // 0x0B5 UCHAR bytesPerSec[2]; // 0x0200 扇区大小512B6 UCHAR SecsPerClu; // 0x08 每簇扇区数4KB7 UCHAR rsvSecs[2]; // 保留扇区8 UCHAR noUse01[5]; //9 // 0x1510 UCHAR driveDscrp; // 0xF8 磁盘介质 -- 硬盘11 UCHAR noUse02[2]; //12 // 0x1813 UCHAR SecsPerTrack[2]; // 0x003F 每道扇区数 6314 UCHAR Headers[2]; // 0x00FF 磁头数15 UCHAR secsHide[4]; // 0x3F 隐藏扇区16 UCHAR noUse03[8]; //17 // 0x2818 UCHAR allSecsNum[8]; // 卷总扇区数, 高位在前, 低位在后19 // 0x3020 UCHAR MFT_startClu[8]; // MFT 起始簇21 UCHAR MFTMirr_startClu[8]; // MTF 备份 MFTMirr 位置22 //0x4023 UCHAR cluPerMFT[4]; // 每记录簇数 0xF624 UCHAR cluPerIdx[4]; // 每索引簇数25 //0x4826 UCHAR SerialNum[8]; // 卷序列号27 UCHAR checkSum[8]; // 校验和28 }Ntfs_Bpb,*pNtfs_Bpb;三、主文件表 (Master File Table, MFT)MFT是什么什么作用在NTFS中整个卷的所有文件信息(包括MFT本身、数据文件、文件夹等等)都存储在MFT。每一个文件在 MFT 中都有一个或多个 MFT 项记录文件属性信息。而且每项大小是固定的(一般为1KB)MFT保留了前16项用于特殊文件记录称为元数据。可以根据MFT快速的找到文件的详细信息和具体位置等。image.png1、MFT项一个MFT项包括MFT头和关于文件的4条属性以FF FF FF FF结尾。image.png(一)MFT头部在一个MFT项中前56字节是MFT头部信息其中比较重要的是FILE标识、第一个属性的偏移和flags。flags显示了此文件是否是正常文件或者是删除文件等。image.png1 typedef struct MFT_HEADER{2 UCHAR mark[4]; // FILE 标志3 UCHAR UsnOffset[2]; // 更新序列号偏移 30 004 UCHAR usnSize[2]; // 更新序列数组大小1 03 005 UCHAR LSN[8]; // 日志文件序列号(每次记录修改后改变) 58 8E 0F 34 00 00 00 006 // 0x107 UCHAR SN[2]; // 序列号 随主文件表记录重用次数而增加8 UCHAR linkNum[2]; // 硬连接数 (多少目录指向该文件) 01 009 UCHAR firstAttr[2]; // 第一个属性的偏移 38 0010 UCHAR flags[2]; // 0已删除 1正常文件 2已删除目录 3目录正使用11 // 0x1812 UCHAR MftUseLen[4]; // 记录有效长度 A8 01 00 0013 UCHAR maxLen[4]; // 记录占用长度 00 04 00 0014 // 0x2015 UCHAR baseRecordNum[8]; // 索引基本记录, 如果是基本记录则为016 UCHAR nextAttrId[2]; // 下一属性Id 07 0017 UCHAR border[2]; //18 UCHAR xpRecordNum[4]; // 用于xp, 记录号19 // 0x3020 UCHAR USN[8]; // 更新序列号(2B) 和 更新序列数组21 }Mft_Header, *pMft_Header;(二)MFT项的4个属性每条属性都包含属性头和属性结构。每条属性的前4字节显示该属性的类型不同类型的属性有不同的属性结构。image.png属性头1 //------------------ 属性头通用结构 ----2 typedef struct NTFSAttribute //所有偏移量均为相对于属性类型 Type 的偏移量3 {4 UCHAR Type[4]; // 属性类型 0x10, 0x20, 0x30, 0x40,...,0xF0,0x1005 UCHAR Length[4]; // 属性的长度6 UCHAR NonResidentFiag; // 是否是非常驻属性l 为非常驻属性0 为常驻属性 007 UCHAR NameLength; // 属性名称长度如果无属性名称该值为 008 UCHAR ContentOffset[2]; // 属性内容的偏移量 18 009 UCHAR CompressedFiag[2]; // 该文件记录表示的文件数据是否被压缩过 00 0010 UCHAR Identify[2]; // 识别标志 00 0011 //--- 0ffset: 0x10 ---12 //-------- 常驻属性和非常驻属性的公共部分 ----13 union CCommon14 {15 //---- 如果该属性为 常驻 属性时使用该结构 ----16 struct CResident17 {18 UCHAR StreamLength[4]; // 属性值的长度, 即属性具体内容的长度。48 00 00 0019 UCHAR StreamOffset[2]; // 属性值起始偏移量 18 0020 UCHAR IndexFiag[2]; // 属性是否被索引项所索引索引项是一个索引(如目录)的基本组成 00 0021 };22 //------- 如果该属性为 非常驻 属性时使用该结构 ----23 struct CNonResident24 {25 UCHAR StartVCN[8]; // 起始的 VCN 值(虚拟簇号在一个文件中的内部簇编号,0起)26 UCHAR LastVCN[8]; // 最后的 VCN 值27 UCHAR RunListOffset[2]; // 运行列表的偏移量28 UCHAR CompressEngineIndex[2]; // 压缩引擎的索引值指压缩时使用的具体引擎。29 UCHAR Reserved[4];30 UCHAR StreamAiiocSize[8]; // 为属性值分配的空间 单位为B压缩文件分配值小于实际值31 UCHAR StreamRealSize[8]; // 属性值实际使用的空间单位为B32 UCHAR StreamCompressedSize[8]; // 属性值经过压缩后的大小, 如未压缩, 其值为实际值33 };34 };35 };具体属性头的大小根据是否是常驻属性来进行计算。是否是常驻属性根据属性头的第9个字节判断1为非常驻0为常驻。如果是非常驻属性属性头大小为64如果是常驻属性属性头大小为24字节。常驻和非常驻的区别常驻属性是直接保存再MFT中非常驻属性保存再MFT之外的其他地方。如果文件或文件夹小于1500字节那么它们的所有属性包括内容都会常驻在MFT中。属性结构不同类型的属性有不同的属性结构这里主要介绍10H属性、30H属性和80H属性。(1)10H属性 $STANDART_INFORMATIONimage.png1 struct Value0x102 {3 UCHAR fileCreateTime[8]; // 文件创建时间4 UCHAR fileChangeTime[8]; // 文件修改时间5 UCHAR MFTChangeTime[8]; // MFT修改时间6 UCHAR fileLatVisited[8]; // 文件最后访问时间7 UCHAR tranAtrribute[4]; // 文件传统属性8 UCHAR otherInfo[28]; // 版本所有者配额安全等等信息(详细略)9 UCHAR updataNum[8]; // 文件更新序列号10 };关于文件传统属性对照下表image.png(2)30H属性 $FILE_NAME这个属性比较重要包含了文件的详细资料和父目录的参考号等。根据父目录参考号可以知道文件之间的父子关系从而构建文件的子父关系。其实在10H属性中已经描述了文件的部分信息(时间、标志等)30H属性主要关注父目录的参考号、文件名命名空间和文件名。image.png1 struct Value0x302 {3 UCHAR parentFileNum[8]; // 父目录的文件参考号,前 6B 的文件记录号后 2B 的文件引用计数当文件记录号为0x05时是根目录。4 UCHAR createTime[8]; // 文件创建时间5 UCHAR changeTime[8]; // 文件修改时间6 UCHAR MFTchangeTime[8]; // MFT 修改时间7 UCHAR lastVisitTime[8] // 最后一次访问时间8 UCHAR AllocSize[8]; // 文件分配大小9 UCHAR realSize[8]; // 实际大小10 UCHAR fileFlag[4]; // 文件标志系统 隐藏 压缩等等11 UCHAR EAflags[4] // EA扩展属性和重解析点12 UCHAR nameLength; // 文件名长13 UCHAR nameSpace; // 文件命名空间0 --- POSIX, 1 -- Win32, 2 --- DOS, 3 --- Win32 DOS14 //----- Name (Unicode编码) 长度为 2 * nameLength ----15 }NTFS通过为一个文件创建多个30H属性实现POSIX (Portable Operating System Interface, 可移植操作系统接口) 式硬连接每个30H属性都有自己的详细资料和父目录一个硬连接删除时就从MFT中删除这个文件名最后一个硬连接被删除时这个文件就算是真正被删除了。(3)80H属性$DATALCN(logical cluster number)整个文件卷的相对位置单位(簇)。VCN(virtual cluster number)文件内部的相对位置单位(簇)。1 struct Value0x802 {3 UCHAR len; // 低4位表示运行簇大小的len高4位表示起始簇的len4 UCHAR *filesize; // 运行簇大小5 UCHAR *start; // 起始簇 LCN/VCN6 }每个运行列表中第一个字节的低4位表示运行簇大小(filesize)的len高4位表示起始簇(start)的len。如果一个运行列表后面的第一个字节是00说明运行列表结束后面的数值暂时不用管如果不是00则是下一个运行列表开始。①非常驻--一个运行列表image.png0x00~0x3F 是属性头运行列表在橘黄色框中0x40开始可以得到运行列表 33 40 BC 00 00 00 0C。分析如下:首先0x33低4位是3表示紧随其后的3Byte 0xBC40作为运行簇大小(簇个数)即文件所占总大小高4位是3表示簇大小之后的3个Byte 0x0C0000 是起始簇即文件起始这里是说的是LCN。②非常驻--多个运行列表image.png分析如下第一个运行列表首先是0x31低4位是1表示紧接着的1Byte(03)是运行簇大小高4位是3表示紧接着3Byte(65 9A 00)是起始簇这里说的是LCN第二个运行列表首先是0x11低4位是1表示紧接着的1Byte(01)是运行簇大小高4位是1表示紧接着3Byte(13)是起始簇这里说的是VCN。注意只有第一个运行列表的起始簇说的是LCN从第二个运行列表开始每个运行列表的起始簇都说的是VCN。想要得到LCN需要按下面的公式计算第n个运行列表的LCN 第一个运行列表的起始簇(LCN) 第二个运行列表的起始簇(VCN) ...第n个运行列表的起始簇(VCN)③常驻image.png四、常见问题(一)如何从NTFS文件系统中找到$MFT文件的起始和总大小1、从引导扇区找到“MFT起始簇”或者”MFT备份MFTMirr位置“2、根据“MFT起始簇”或者”MFT备份MFTMirr位置“找到第一个MFT项(1KB)第一个MFT项就是$MFT的属性内容3、在第一个MFT项中找到80H属性根据80H属性的属性结构找到文件起始和总大小4、上面3找到的就是MFT文件的起始和总大小了。(二)MFT文件和MFTMirr文件的区别MFT文件是对NTFS中全部MFT(卷上的所有文件包括文件名、时间戳、流名和数据流所在的群集号列表、索引、安全标识符以及诸如“只读”、“压缩”、“加密”之类的文件属性)的存储可以根据MFT文件快速的查找卷上的所有文件而MFTMirr文件是对MFT文件中比较重要项的复制一般是4KB。
