NTFS文件系统详解

admin 管理员组

文章数量: 887021

NTFS文件系统详解

• 一、分析NTFS文件系统的结构
• 二、分析$Boot文件
• 三、分析$MFT元文件
• 四、分析文件记录
• • 1. MFT偏移地址计算
  • 2. 文件记录的结构
  • 3. 属性的属性头分析
  • 4. 属性的属性体分析
• 五、遍历分区文件列表的思路
• NTFS文件系统详解系列

　　NTFS （New Technology File System），是 Windows NT 环境的文件系统。新技术文件系统是Windows NT家族（如，Windows 2000、Windows XP、Windows Vista、Windows 7和 windows 8.1）等的限制级专用的文件系统（操作系统所在的盘符的文件系统必须格式化为NTFS的文件系统，4096簇环境下）。NTFS取代了老式的FAT文件系统。
　　NTFS对FAT和HPFS作了若干改进，例如，支持元数据，并且使用了高级数据结构，以便于改善性能、可靠性和磁盘空间利用率，并提供了若干附加扩展功能。NTFS文件系统拥有以下特点：
　　安全性高：NTFS支持基于文件或目录的ACL，并且支持加密文件系统（EFS）。
　　可恢复性：NTFS支持基于原子事务概念的文件恢复，比较符合服务器文件系统的要求。
　　文件压缩：NTFS支持基于文件或目录的文件压缩，可以很方便的节省磁盘空间。
　　磁盘配额：NTFS支持磁盘配额，可针对系统中每个用户分配磁盘资源。

一、分析NTFS文件系统的结构

　　当用户将硬盘的一个分区格式化为NTFS分区时，就建立了一个NTFS文件系统。NTFS文件系统同FAT32文件系统一样，也是用“簇”为存储单位，一个文件总是占用一个或多个簇。
　　NTFS文件系统使用逻辑簇号（LCN）和虚拟簇号（VCN）对分区进行管理。
　　逻辑簇号：既对分区内的第一个簇到最后一个簇进行编号，NTFS使用逻辑簇号对簇进行定位。
　　虚拟簇号：既将文件所占用的簇从开头到尾进行编号的，虚拟簇号不要求在物理上是连续的。
　　NTFS文件系统一共由16个“元文件”构成，它们是在分区格式化时写入到硬盘的隐藏文件（以”$”开头），也是NTFS文件系统的系统信息。
　　NTFS的16个元文件介绍：

二、分析$Boot文件

　　下面我们分析一下DBR中的各参数：

• EB 52 90（跳转指令）
  
  　　本身占2字节它将程序执行流程跳转到引导程序处。“EB 52 90”清楚地指明了OS引导代码的偏移位置。jump 52H加上跳转指令所需的位移量，即开始于0×55。

• 4E 54 46 53 20 20 20 20（OEM代号）
  
  　　这部分占8字节，其内容由创建该文件系统的OEM厂商具体安排，本例为“NTFS”。

• BPB
  
  　　NTFS文件系统的BPB从DBR的第12个字节开始，占用73字节，记录了有关该文件系统的重要信息，下表中的内容包含了“跳转指令”、“OEM代号”以及“BPB”的参数。

　　对照上表，对BPB的分析如下：

　　引导程序：DBR的引导程序占用426字节，其负责完成将系统文件NTLDR装入，对于没有安装系统的分区是无效的。

三、分析$MFT元文件

　　在NTFS文件系统中，磁盘上的所有数据都是以文件的形式存储，其中包括元文件。每个文件都有一个或多个文件记录，每个文件记录占用两个扇区，而MFT元文件就是专门记录每个文件的文件记录。由于NTFS文件系统是通过MFT元文件就是专门记录每个文件的文件记录。由于NTFS文件系统是通过MFT来确定文件在磁盘上的位置以及文件的属性，所以MFT是非常重要的，MFT是非常重要的，MFT的起始位置在DBR中有描述。MFT的文件记录在物理上是连续的，并且从0开始编号。MFT的文件记录在物理上是连续的，并且从0开始编号。MFT的前16个文件记录总是元文件的，并且顺序是固定不变的。

四、分析文件记录

1. MFT偏移地址计算

　　根据上面BPB的数据可以得到条件

　　每个MFT字节总数 = 簇大小 * 每个扇区内的字节总数
　　 = 8 * 512 = 4096
　　MBR开始扇区字节总数 = MBR起始扇区 * 每个扇区内的字节总数
　　 = 63 * 512 = 32256
　　MFT的开始位置的字节总数 = MBR开始扇区字节总数 + MFT的开始簇号 * 每个MFT字节总数
　　 = 32256 + 786432 * 4096 = 3221257728
　　将3221257728转换为十六进制，即得到MFT开始位置偏移地址C0007E00

2. 文件记录的结构

　　文件记录由两部分构成，一部分是文件记录头，另一部分是属性列表，最后结尾是四个“FF”。
　　查看文件记录格式，如下是一个完整的文件记录：

　　在同一系统中，文件记录头的长度和具体偏移位置的数据含义是不变的，而属性列表是可变的，其不同的属性有着不同的含义。后文将对属性进行具体分析，先来看看文件记录头的信息。

　　在NTFS文件系统中所有与文件相关的数据结构均被认为是属性，包括文件的内容。文件记录是一个与文件相对应的文件属性数据库，它记录了文件的所有属性。每个文件记录中都有多个属性，他们相对独立，有各自的类型和名称。每个属性都由两部分组成，既属性头和属性体。属性头的前四个字节为属性的类型。从文件记录头可以看到第一个属性流的偏移地址，（C0007E00+0038=C0007E38）如下是以10H属性为例的属性结构。

　　属性有常驻与非常驻之分。
　　当一个文件很小时，其所有属性体都可以存放在文件记录中，该属性就称为常驻属性。
　　如果某个文件很大，1KB的文件记录无法记录所有属性时，则文件系统会在MFT元文件之外的区域（也称数据流）存放该文件的其他文件记录属性，这些存放在非MFT元文件之外的区域（也称数据流）存放该文件的其他文件记录属性，这些存放在非MFT元文件内的记录就称为非常驻属性。

3. 属性的属性头分析

　　每个属性都有一个属性头，这个属性头包含了一些该属性的重要信息，如属性类型，属性大小，名字（并非都有）及是否为常驻属性等。
　　常驻属性的属性头分析表：

　　非常驻属性的属性头分析表：

4. 属性的属性体分析

　　前面说过了，属性的种类有很多，因此各属性体的含义也不同。下表是NTFS文件系统中的所有属性体的简介。

　　接下来来看几个重要的属性：

• 10H属性
  
  　　10H属性包含文件的一些基本信息，如文件的传统属性，文件的创建时间和最后修改时间和日期，文件的硬链接数等等。

　　如下是一个10H属性偏移0×20处属性体的解释：

• 20H属性
  
  　　20H类型属性既属性列表，当一个文件需要好几个文件记录时，才会用到20H属性。20H属性记录了一个文件的下一个文件记录的位置。
  　　如下是20H属性偏移0×20处属性体的解释。

• 30H属性
  
  　　30H类型属，该属性用于存储文件名 ，它总是常驻属性。最少68字节，最大578字节，可容纳最大Unicode字符的文件名长度。

• 80H属性
  
  　　80H属性是文件数据属性，该属性容纳着文件的内容，文件的大小一般指的就是未命名数据流的大小。该属性没有最大最小限制，最小情况是该属性为常驻属性。常驻属性就不做多的解释了，上面我标记的是一个非常驻的80H属性。

　　其中，Run List是最难理解，也是最重要的。当属性不能存放完数据，系统就会在NTFS数据区域开辟一个空间存放，这个区域是以簇为单位的。Run List就是记录这个数据区域的起始簇号和大小，一个Run List例子上所示。这个示例中，Run List的值为“32 CC 26 00 00 0C”，因为后面是00H，所以知道已经是结尾。如何解析这个Run List呢？ 第一个字节是压缩字节，高位和低位相加，3 + 2 = 5，表示这个Data Run信息占用五个字节，其中高位表示起始簇号占用多少个字节，低位表示大小占用的字节数。在这里，起始簇号占用3个字节，值为0C 00 00，大小占用2个字节，值为26 CC。解析后，得到这个数据流起始簇号为C0000，大小为9932簇。

• 90H属性
  
  　　90H属性是索引根属性，该属性是实现NTFS的B+树索引的根节点，它总是常驻属性。该属性的结构如下图：

　　索引根结构表：

　　索引头结构表：

　　索引项结构表：

• A0H属性
  
  　　A0属性是索引分配属性，也是一个索引的基本结构，存储着组成索引的B+树目录索引子节点的定位信息。它总是常驻属性。如下：是一个A0H属性的实例。

　　根据上图A0H属性的“Run List”可以找到索引区域，偏移到索引区域所在的簇，如下图：
　　起始簇：18265
　　簇大小：3
　　起始扇区号 = 该分区的其实扇区 + 簇号 * 每个簇的扇区数 也就是
　　64 + 18265 * 8 = 146124

　　上面的偏移0x28，还要加上0x18 = 0×40

　　起始簇：18265
　　簇大小：3
　　起始扇区号 = 该分区的起始扇区 + 簇号 * 每个簇的扇区数
　　也就是
　　64 + 18265 * 8 = 146124

　　标准索引头的解释如下：

　　索引项的解释如下：

　　到此一些常用属性基本介绍的差不多了。

五、遍历分区文件列表的思路

　　1. 定位DBR，通过DBR可得到“$MFT”的起始簇号及簇大小；
　　2. 定位并找到“MFT”后，在其中寻找根目录的文件记录，一般在5号文件记录；
　　3. 在90H属性中得到B+树索引的根节点文件信息，重点在A0属性上。通过属性中的“Run List”定位到其数据流；
　　4. 从“Run List”定位到起始簇后，再分析索引项可以得到文件名等信息；
　　5. 从索引项中可以获取“MFT”的参考号；
　　6. 进入到“MFT”的参考号；
　　7. 进入到“MFT”找到对应的文件记录；
　　8. 然后再根据80H属性中的数据流就，可以找到文件真正的数据了。

NTFS文件系统详解系列

• NTFS文件系统详解
• NTFS文件系统详解（一）硬盘基本信息
• NTFS文件系统详解（二）MBR\EBR基本信息
• NTFS文件系统详解（三）NTFS元文件解析

本文标签： 文件系统 详解 ntfs