p111：NTFS文件属性 p111：NTFS文件属性NTFS文件属性.ppt

《p111：NTFS文件属性 p111：NTFS文件属性NTFS文件属性.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、NTFS文件属性M6-2本单元主要内容主控文件表结构一NTFS文件属性二属性头结构三四基本属性介绍四字符编码转换五M6-2本单元重难点重点主控文件表结构属性头结构基本文件属性难点主控文件表结构属性头结构一、主控文件表结构主控文件表（MFT）在NTFS文件系统中的地位非常重要，它记载了该分区中所有的文件记录信息，甚至还可以包括文件数据。在格式化时，系统首先确定了主控文件表的起始位置和大小。主控文件表本身也被当做文件管理，就是$MFT元文件。一、主控文件表结构主控文件表由若干个文件记录项组成，每个文件记录项占1024字节，也就是2个扇区。在NTFS分区中，每个文件都有一个编号，元文件占了头

2、16个文件记录项，编号为0到15，16到23是保留项，用户文件从24号开始。其中，第0项便是$MFT。一、主控文件表结构MFT区域中的每个记录项都分为记录头和属性列表两个部分，记录头里包含了本记录项的总体情况和信息，属性列表里列出了该文件的所有属性。不同的文件可以有不同的属性，因此，属性列表的大小是可变的，在所有属性的最后是结束标志FFFFFFFFH。一、主控文件表结构文件记录头10H属性结束标志80H属性B0H属性30H属性一、主控文件表结构–文件记录头偏移长度含义00H4BMFT标志，一定为字符串“FILE”04H2B更新序列号的偏移，通常为30H06H2B更新序列号的大小与数组0

3、8H8B日志文件序列号LSN10H2B序列号，用于记录本文件项被使用的次数12H2B硬链接数，即有多少目录指向该文件，只出现在基本文件记录中14H2B第一个属性的偏移地址16H2B标志，第0位表示是使用/删除，第1位表示目录/文件18H4B记录头和属性的实际使用总长度1CH4B总共分配给文件记录的长度，通常为400H20H8B索引号，基本文件记录总为0，非0则表示为扩展文件记录28H2B下一属性ID2AH2BWindowsXP中使用，边界2CH4BMFT记录编号（从0号起始）30H-更新序列号和更新序列数组二、NTFS文件属性在一个NTFS卷中文件所有的信息，包括文件数据在内，都被认为

4、是文件的属性，而构成该属性的实际数据则被称为“流”。不同的文件拥有的属性不一样，有的属性也会在同一记录项中多次出现，比如文件名属性。每个属性的头4个字节表示属性类型，接下来的4个字节表示本属性大小，根据这个信息，我们可以遍历文件的属性列表。MFT中的各属性的大小均以8字节为边界。二、NTFS文件属性–属性图示10属性头属性内容30属性头属性内容30属性头属性内容二、NTFS文件属性–属性列表属性类型属性名属性描述10H$STANDARD_INFOMATION标准信息：文件传统属性，时间属性，硬链接等20H$ATTRIBUTE_LIST属性列表：描述扩展文件记录项中属性的信息30H$FI

5、LE_NAME文件名：用Unicode字符表示的文件名40H$OBJECT_ID对象ID：具有64字节的标识符，提供API调用访问50H$SECURITY_DESCRIPTOR安全描述符：文件的访问控制，现在移到$Secure中了60H$VOLUME_NAME卷名（卷标识）：仅存在于$Volume元文件中70H$VOLUME_INFOMATION卷信息：仅存在于$Volume元文件中80H$DATA数据：文件的实际数据内容90H$INDEX_ROOT索引根：文件目录的根节点A0H$INDEX_ALLOCATION索引分配：文件目录表的子节点B0H$BITMAP位图：分配空间的使用情况C

6、0H$REPARSE_POINT重解析点，实现卷、目录和应用程序之间的连接D0H$EA_INFOMATION扩充信息属性E0H$EA扩充信息1000H$LOGGED_UTILITY_STREAMEFS加密属性：存储合法用户列表、密钥等三、属性头结构每个属性又分为属性头和属性内容两部分，属性头给出了该属性的结构信息。有的属性内容存储在记录项中（如文件名），称为常驻属性。有的属性内容很大，需要在MFT外另外开辟空间存储（如文件数据），则称为非常驻属性。有的属性在属性头之后列出了属性名，而有的则没有，一般存放特殊内容的属性都有属性名。三、属性头结构–常驻属性偏移大小含义00H4B属性类型04

7、H4B属性大小（包括属性头和属性内容）08H1B是否常驻（00＝常驻；01＝非常驻）09H1B属性名长度（0表示无属性名，非0表示属性名的字符个数）0AH2B属性名的起始偏移（如果有的话），通常为18H0CH2B压缩（0001H）、加密（4000H）、稀疏(8000H)标志0EH2B属性ID10H4B属性内容的长度14H2B属性内容的起始偏移（如果没有属性名，则为18H）16H1B索引标志17H1B无意义，通常为018H-该属性的内容，或属性名