高中信息技术教论文 探索NTFS.docVIP

探索NTFS NTFS是Windows?NT引入的新型文件系统，它具有许多新特性。本文旨在探索NTFS的底层结构，所叙述的也仅是文件在NTFS卷上的分布。NTFS中，卷中所有存放的数据均在一个叫$MFT的文件中，叫主文件表 Master?File?Table 。而$MFT则由文件记录 File?Record 数组构成。File?Record的大小一般是固定的，通常情况下均为1KB，这个概念相当于Linux中的inode。File?Record在$MFT文件中物理上是连续的，且从0开始编号。$MFT仅供File?System本身组织、架构文件系统使用，这在NTFS中称为元数据 Metadata 。以下列出Windows?2000?Release出的NTFS的元数据文件 我将要给出的示例代码的部分输出结果 。 File?Record inode ?FileName 探索NTFS \file $STANDARD_INFORMATION? resident $FILE_NAME? resident $DATA? resident D:\ echo?testforattr file:ATTR D:\ nfi?d:\file NTFS?File?Sector?Information?Utility. Copyright? C ?Microsoft?Corporation?1999.?All?rights?reserved. \file $STANDARD_INFORMATION? resident $FILE_NAME? resident $DATA? resident $DATA?ATTR? resident nfi的输出结果$STANDARD_INFORMATION、$FILE_NAME、$DATA等在NTFS中称为属性 Attribute 。属性分为常驻属性 Resident?Attribute 与非常驻属性 Nonresident?Attribute 。文件的数据也包含在属性中，似乎与属性这个名称有点混谣。不过这又让NTFS有了更加统一的组织文件的形式。这也同时让NTFS有MultiStreams的特性 上面也演示了这个特性 。通过指定的File?Record定位给定的Attribute的实现代码如下： template? class T1, class T2 ?inline T1*?Padd T1*?p,?T2?n ? ?return? T1* char?* p?+?n ; PATTRIBUTE?FindAttribute PFILE_RECORD_HEADER?file, ATTRIBUTE_TYPE?type,?PWSTR?name for? PATTRIBUTE?attr? ?PATTRIBUTE Padd file,?file- AttributesOffset ; attr- AttributeType?! ?-1; attr? ?Padd attr,?attr- Length if? attr- AttributeType? ?type if? name? ?0??attr- NameLength? ?0 ?return?attr; if? name?! ?0??wcslen name attr- NameLength ?_wcsicmp name,?PWSTR Padd attr,?attr- NameOffset 0 ?return?attr; return?0; Gary?Nebbett提供的这个FindAttribute函数在Attribute?name 即第三个参数 不为空串时可能会出现bug，主要原因是_wcsicmp对UNICODE字符串比较时应该是以\0结束的标准的C字符串。我在提供的代码中已经纠正了这个错误。 下面我将通过使用SoftICE来分析这段代码得到$MFT的$FILE_NAME属性来得到$MFT的file?name。这个示例同样适用于得到其它文件的$FILE_NAME 如上面的file 、还有其它的属性如$DATA等等。 :bpx?FindAttribute Break?due?to?BPX?FindAttribute?? ET 6.89?seconds :locals [EBP-4]?+struct?ATTRIBUTE?*?attr? ?0x00344D68? ... [EBP+8]?+struct?FILE_RECORD_HEADER?*?file? ?0x00344D38? ... [EBP+C]??enum?ATTRIBUTE_TYPE?type? ?AttributeFileName? 30 [EBP+10]?+unsigned?short?*?name? ?0x