p104：NTFS分区结构 p104：NTFS分区结构分析NTFS分区结构.ppt

《p104：NTFS分区结构 p104：NTFS分区结构分析NTFS分区结构.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、分析NTFS分区结构M6-1本单元主要内容NTFS分区结构一主控文件表与元文件二引导扇区结构三四修复引导扇区四M6-1本单元重难点重点NTFS分区概述NTFS引导扇区分析恢复NTFS引导扇区的方法NTFS元文件介绍难点NTFS引导扇区BPB参数NTFS元文件的概念和作用一、NTFS分区结构微软公司自推出WindowsNT服务器操作系统以来，就开发了一种与之对应的，可靠性和安全性都很强的，可用于服务器操作系统的文件系统，即NTFS。它与FAT文件系统相比有许多优点：可恢复性、安全性、保密性、数据容错、文件压缩、磁盘配额管理等。一、NTFS分区结构在

2、NTFS分区中，引入了卷概念。卷可以看成是分区的升级版，是为了解决某些分区限制而提出的概念，卷的操作和使用和分区是一样的。卷分为简单卷和动态卷两种，简单卷就是一个普通分区，而动态卷则可以实现一些高级功能，比如可以将多个分区或者磁盘组织成一个卷，能够动态增长容量等，使其可以支持服务器存储所需的海量存储空间。一、NTFS分区结构NTFS仍然使用簇来分配文件存储，簇又叫卷因子，在分区中通常每个簇包含8个扇区，从0开始编号，这个簇号叫做逻辑簇号（LCN）。在存储文件的时候，NTFS采用了索引存储方式：即把文件按照逻辑簇大小划分为多个区块，称为虚拟簇（VC

3、N），在主控文件表中有一张索引表，记录了VCN和LCN的对应关系，因此可以快速地访问文件任意一个部分的内容，而且簇到扇区的转换也非常简单。VCN123456LCN101102106107108221一、NTFS分区结构NTFS分区不再设管理控制区域，分区的0扇区便是0簇，全部空间都是数据区域。分区中承担管理控制信息的数据块被组织成文件，灵活地存放在任意一个位置。只有BOOT区域比较特殊，由于0扇区仍是引导扇区，因此BOOT区域始终位于分区前端。二、主控文件表与元文件在NTFS分区中，最重要的就是主控文件表（MFT），它记载了所有文件的属性信息，甚

4、至包括数据，有点类似于FAT分区的文件目录表。为了防止遭到破坏，NTFS分区将MFT的位置移到了分区的中间，并在引导扇区中给出了它的簇号。我们在恢复数据的时候，就是依靠MFT来完成的。二、主控文件表与元文件在NTFS中承担管理控制信息的数据称为元数据，用于记载文件属性信息、簇分配信息、以及加密、配额、日志等。这些元数据分别被组织成文件，称为元文件。前面所提到的BOOT区域和MFT区域，也分别被组织为两个重要的元文件：$Boot和$MFT。NTFS中有16个元文件，每个元文件都以美元符号起头，以标示其特殊身份。这些元文件记录了分区底层的结构信息，因

5、此非常特殊而重要，被系统保护起来，用户和应用程序不能访问它们。二、主控文件表与元文件编号元数据文件功能或内容0$MFT主控文件表本身1$MFTMirr主控文件表的部分备份（通常为前4项）2$LogFile日志文件，实现了NTFS的可恢复性和安全性3$Volume卷文件，标识卷名，是否格式化，是否需要修复等信息4$AttrDef属性定义列表文件5$Root根目录，存放目录和文件的索引，表示文件的逻辑层次关系6$Bitmap位图元文件，记录了卷中簇的分配情况7$Boot引导元文件，恒为0簇起始8$BadClus坏簇列表元文件9$Secure安全元文件

6、，存储访问控制表（在NTFS4及以前为磁盘配额信息）10$UpCase大小写字符转换表元文件11$ExtMD扩展元数据目录（Extendedmetadatadirectory）12~15$Extended扩展元数据，分别为重解析点、加密日志、配额管理、对象ID16~23为以后扩展而保留24~?用户文件和目录的记录编号三、引导扇区结构NTFS分区的0扇区是引导扇区，也叫DBR扇区，它和后面的15个扇区（NTLDR区域）合起来构成BOOT区域，也就是$Boot元文件。$Boot元文件恒定从0簇起始，占16个扇区。NTFS分区的引导扇区同FAT分区的

7、引导扇区在结构上非常相似，同样包含BPB，DBR和结束标志三个部分，只是在BPB参数上有部分不同。由于所有的结构信息都以元文件方式组织，因此在BPB中只包含几个重要的参数。三、引导扇区结构NTFS的BPBNTFS的DBR三、引导扇区结构偏移长度描述00H3B跳转指令（EBH52H90H），跳至54H处DBR部分03H8B文件系统和版本的OEM标志（NTFS）0BH2B每扇区字节数（通常为200H）0DH1B每簇扇区数（值为2的N次方，通常为8）15H1B介质描述，恒为F818H2B每磁道扇区数（通常为3FH，63）1AH2B磁头数（通常为FFH，

8、255）1CH4B隐含扇区数（本分区前的扇区总数，也就是本分区的起始逻辑扇区号）24H4BNTFS未使用，总为80H00H80H00H2