病毒原理2讲解.ppt

2.2.7 NTFS文件系统 如果目录列表小于一个文件记录的长度，小目录的索引根属性包括其中所有文件和子目录的索引，那么，该文件夹的所有信息都存储在主文件表的记录中 大文件或大目录的所有属性，就不可能都常驻在MFT中 如果一个属性太大而不能存放在MFT文件记录中，NTFS将从MFT之外分配区域。这些区域通常称为一个运行(Run)或一个盘区(Extent)，它们可用来存储属性值，如文件数据 如果以后属性值又增加，那么NTFS将会再分配一个运行 值存储在运行中而不是在MFT文件记录中的属性称为非常驻属性(Nonresident Attribute) 2.2 文件系统 大文件的非常驻属性 2.2.7 NTFS文件系统 2.2 文件系统 大目录的MFT记录 2.2.7 NTFS文件系统 逻辑簇号、虚拟簇号与数据定位 Windows以簇号来定位文件在磁盘上的存储位置，在FAT格式的文件系统中，有关簇号的指针包含在FAT表中，在NTFS中，有关簇号的指针则包含在$MFT及$MFTMirr文件中 NTFS使用逻辑簇号(Logical Cluster Number，LCN)和虚拟簇号(Virtual Cluster Number，VCN)来对簇进行定位 2.2 文件系统 非常驻数据属性的VCN 2.2.7 NTFS文件系统 当该文件含有超过2个运行时，则第三个运行从VCN7开始，