NTFS:解读NTFS资源-CSDN文库

NTFS

需积分: 50 79 浏览量 2010-07-15 17:10:35 上传评论收藏 519KB DOC 举报

资源推荐

资源详情

资源评论

解读 NTFS(一)

 是一个比  复杂的多的文件系统

 的引导扇区也是完成引导和定义分区参数，和  分区不同， 分区的  记

录正常，就显示分区没有错误，即使文件不正确，而  分区的  不是分区的充分

条件，它要求必须  中的系统记录如 等正常该分区才能正常访问。其  参数

如下表所示。

字节偏移长度常用值意义

字 每扇区字节数

字节 每簇扇区数

字 保留扇区

 字节 总为 

字  未使用，为 

字节 介质描述

字 总为 

字 每磁盘扇区数

字 磁头数

双字 隐含扇区

双字  未使用，为 

 字节 扇区总数

 字节  的逻辑簇号

 字节  的逻辑簇号

双字 每  记录簇数

双字 每索引簇数

 字节 卷标

双字 检验和

 中的文件记录大小一般是固定的，不管簇的大小是多少，均为 。文件记录在

 文件记录数组中物理上是连续的，且从  开始编号，所以， 是预定义文件系统。

 仅供系统本身组织、架构文件系统使用，这在  中称为元数据（ !  ，是

存储在卷上支持文件系统格式管理的数据。它不能被应用程序访问，只能为系统提供服

务）。其中最基本的前  个记录是操作系统使用的非常重要的元数据文件。这些元数据

文件的名字都以“"开始，所以是隐藏文件，在 #$!%&'() 中不能使用 ! 命令

（甚至加上( * 参数）像普通文件一样列出。在 #+,) 中带有 +-)，用此工具可以

显示这些记录与文件的对应关系，下一次再详细解释。

这些元数据文件是系统驱动程序管理卷所必需的，#$!%&'() 给每个分区赋予一

个盘符并不表示该分区包含有 #$!%&'() 可以识别的文件系统格式。如果主文件

表损坏，那么该分区在 #$!%&'() 下是无法读取的。为了使该分区能够在

#$!%&'() 下能被识别，就必须首先建立 #$!%&'() 可以识别的文件系

统格式即主文件表，这个过程可通过高级格式化该分区来完成。#$!%&' 以簇号来定位

文件在磁盘上的存储位置，在  格式的文件系统中，有关簇号的指针包含在  表中，

在  中，有关簇号的指针则包含在 及 文件中。

 使用逻辑簇号（.%/0 112'23，.）和虚拟簇号（42 112'

23，4）来对簇进行定位。. 是对整个卷中所有的簇从头到尾所进行的简单编

号。用卷因子乘以 .， 就能够得到卷上的物理字节偏移量，从而得到物理磁盘地

址。4 则是对属于特定文件的簇从头到尾进行编号，以便于引用文件中的数据。4

可以映射成 .，而不必要求在物理上连续。

在  卷上，跟随在  后的数据字段形成一个扩展 。这些字段中的数据使得

1! 能够在启动过程中找到主文件表 （ '1 31）。在  卷上，

并不象在  卷和  卷上一样，被放在一个预定义的扇区中。由于这个原因，

如果在  的正常位置中有坏扇区的话，就可以把  移到别的位置。但是，如果该数

据被破坏，就找不到  的位置，#$!%&' 假设该卷没有被格式化。

因此，如果一个 $5' 的卷提示未格式化，可能并未破坏 6依据  的各字段的意思是

可以重建  的。

 的缺省簇的大小

卷大小每簇的扇区缺省的簇大小

小于等于  字节

789: 字节8:

789: 字节8:

大于等于 

从上面可以看出，也就是说不管驱动器多大 簇的大小不会超过 

 文档：文档属性定义

每个文档属性都由以下部分组成：

一个由该属性的实际值组成的被称为“流”的重要的字节序列，元数据可访问该流。

文件中的每个文件属性都可能会有一个名字：在这种情况下，在命令行方式下可以通过语

法“文件名：属性名”来访问该流（这也是文件名中不能使用“：”的原因）。#$!%&';

使用以下在元数据文件5 中预定义的文件属性列表（一般会有一个未命名流，为缺

省流，未命名流只能有一个，而命名流可以有多个， 支持多流文件）：

<=+<+（标准信息）

<+>=.+（属性列表）

E'%*0%$$@ （相对内容部分的偏移值）

%@''!C /（压缩标志）

+!$F0 %（标识）

文件名长度：

表示文件属性没有命名。

压缩标志G在  中6数据压缩是在文件属性级别上实现的，这就意味着，如果出现意外，

你也不会释放出很多的数据。这样，尽管只是对文件进行压缩，但压缩文件同时就意味着

其属性数据也一样被压缩。从现在开始，其头部的安排依赖文件的常驻属性：

对一个常驻属性来说，从头部开始的偏移描述如下：

.$/*%5*' （流长度）

E'%*' （流偏移）

+$!!C /（索引标志）

索引标志：

文件属性通过一个索引入口进行索引。

对于一个非常驻的文件属性，从头部开始的偏移描述如下：

 $/4（起始 4）

. '4（结束 4）

E'%*2$1'（运行列表偏移）

23%50%@''%$$/$H（压缩引擎号）

11%0 !'I%5*' （为流分配的单元大小）

< 1'I%5*' （实际的流大小）

+$ 1I!!  'I%5*' （流已初始化大小）

4：42 112'23（虚拟簇号）的缩略词。4 是一个与非常驻属性相关

联的概念。4 从文件属性流的第一个运行的第一个簇（4）到最后一个运行的最后

一个簇进行编号。当某个运行列表非常大，文件属性不能放在一个文件记录中时，描述文

剩余22页未读，继续阅读

评论收藏

内容反馈

xiaoleisme

粉丝: 38
资源: 159

NTFS:解读NTFS

NTFS 详细讲解

NTFS:NTFS结构说明

文件系统NTFS

android支持ntfs

NTFS文件系统

windows NTFS

NTFS-Search

uefi-ntfs：UEFI：NTFS-从UEFI引导NTFS分区

convert f:/FS:NTFS把F盘转换为NTFS格式

NTFS加密疑难问题浅析

Ntfs Streams Editor2工具

NTFS规范

NTFS 驱动程序

NTFS Documentation

NTFS数据组织

NTFS_白皮书

NTFS磁盘工具：Paragon NTFS for mac使用教程.docx

Forensics Analyzing an Unknown Image NTFS

NTFS白皮书 NTFS白皮书 NTFS白皮书 NTFS白皮书

驱动NTFS驱动NTFS驱动NTFS

ntfs:纯Python模块，用于处理NTFS联结和硬链接

NTFS_FILE

NTFS Mounter

NTFS Undelete

NTFS与FAT32

DiskExplorer for NTFS

操作系统安全：设置NTFS权限.pptx

最新资源