解析NTFS底层结构

解析NTFS底层结构 一、NTFS系统结构 NTFS是Windows NT引入的新型文件系统，如果您是一位熟悉FAT磁盘格式的专业人士，您可能会觉得NTFS系统的思想蹩脚而晦涩，如果您对FAT格式一无所知，那么恭喜您，您会更快的了解这种更有效率的磁盘格式。 NTFS的结构复杂，内容繁多，笔者仅对NTFS卷上的底层结构做分析，并提供卷上数据删除的特征状态供大家参考。 现在，我们首先来建立了解NTFS需要的基本概念。 1.0基本结构及基本概念 在NTFS中，文件以簇的形式分配。最小的单位为扇区，N个扇区为一簇。其中，N的值可以通过BPB（引导扇区）读出（以下会详细介绍）。 1.0.1卷与簇 卷大小（分区大小） 每簇的扇区 缺省的簇大小 小于等于512MB 1 512字节 513MB~1024MB(1GB) 2 1024字节(1KB) 1025MB~2048MB(2GB) 4 2048字节(2KB) 大于等于2049MB 8 4KB 表1 卷与簇的关系 从上面可以看出，也就是说不管驱动器多大NTFS簇的大小不会超过4KB。 1.0.2 NTFS的基本数据结构 NTFS的数据大体上可分为4个部分 （1） Partition boot sector（引导扇区，又称BPB），此部分为所有磁盘格式都共有，占用一个扇区，但是具体的内容当然各不相同（见表3）。 （2） Master File Table（主文件列表，MFT），它是对卷上所有文件的记录，每一个文件对应一个记录项，理论上占用该卷12％的空间。 （3） System files（系统文件），NTFS系统一共有16个系统文件，和8个保留文件。 （4） File area（数据区），留给用户的空间。 Partition boot sector 引导扇区 Master File Table 主文件列表 System files 系统文件 File area 用户文件区（数据区） 表2 NTFS的磁盘分配情况