基于NTFS文件系统的数据恢复程序设计.pdfVIP

2009 年第5 期 前置知识：VC 关键词：编程、NTFS 文件系统、数据恢复 基于NTFS 文件系统的数据恢复程序设计 文/ 图 小小杉 系统与数据恢复技术已经开始在一些高校的信息安全专业中开设，相信这将使得更多的 学生不再畏惧数据恢复，因为笔者每次和同学谈论数据恢复技术程序设计与实现，大多数人 都觉得很高深，其实这主要是因为没有真正的理解文件系统的内部结构原理，而只是在上操 作系统课程时，略微学习了一些文件系统的组织结构、功能等，因而，就无从谈起数据恢复 程序设计了。 其实笔者在2009 年第 1 期上深入地分析过基于NTFS 的数据恢复技术，但当初笔者是 第一次在黑防上发表文章，认为读者们应该都具备一定的数据恢复技术，所以没有从文件系 统内部结构开始分析，而是直接与读者们交流了笔者实现数据恢复程序设计时采用的关键技 术，可能很多读者都没有理解清楚。下面笔者从NTFS 的内部结构原理开始分析，然后逐步 过渡到数据恢复程序设计的实现，希望本文的介绍再加上2009 年第1 期的《自主开发专业 线 数据恢复软件》，能使读者真正地理解NTFS 下的数据恢复技术，并开发出自己的专业恢复 软件。 本文将分三个小节进行阐述，其一，深入分析NTFS 文件系统的内部结构原理，包括主 防 处 控文件表MFT 、NTFS 下的各重要属性及其索引记录与目录结构等；其二，阐述文件删除后 可恢复性原理，通过实例对比分析文件删除前后 MFT 各重要属性的变化；最后重点分析 客 出 NTFS 下已删除文件的数据恢复程序设计，提出一种已删除文件目录树重构的算法，及其已 删除文件的数据恢复算法，并澄清了主控文件表 （MFT ）80 属性中数据运行的存储原理。 （注：数据恢复关键代码已在2009 年第 1 期给出，本文的意义主要是深入阐述恢复技术核 黑 明 心原理，这是必须的，否则初学者无法看懂01 期的代码，希望想深入了解恢复核心技术的 读者认真阅读）。 注 NTFS 文件系统内部结构原理 请 NTFS 文件系统的一大特点是所有的数据，包括系统信息，如引导程序、记录整个卷的 分配状态位图等都以文件的形式存在。MFT 是NTFS 卷结构的核心，系统通过MFT 来确定 载 文件在磁盘上的位置以及文件的所有属性，MFT 是一个与文件相对应的文件属性数据库， 它记录了除文件数据信息外的所有属性（包括文件的 MAC 时间、文件名、文件的父目录 MFT 参考号等），甚至当文件内容很短时，其内容直接在MFT 的数据属性中存放，不再额 转 外占用簇空间。这一点就有别于FAT 系统了，在FAT 结构中，即使文件很小，也必须占用 1 个簇的空间，这其实是很浪费磁盘空间的。读者可以自行使用WinHex 软件测试（WinHex 软件是数据恢复程序设计开发的必备工具）。 1 ．MFT 结构分析 每个文件都与MFT 表一一对应，而文件删除、修改等操作都在MFT 表中得到了体现， 故我们首先必须分析出MFT 结构。同样还是采用WinHex 软件进行分析。MFT 由两个部分 组成，即MFT 头（也称文件记录头）和属性列表。MFT 头的长度和偏移的数据含义是固定 不变的，而属性列表则是可变的，其不同的属性数据有着不同的含义，后面将对其进行具体 2009 年第5 期 的分析。下面先分析MFT 头结构中主要的偏移位置，即笔者认为在数据恢复