MFT结构.docVIP

MFT结构 这就是物理硬盘0的0柱面0磁头l扇区，即主引导扇区的内容。大家可以看到主引导扇区数据，其左侧是十六进制数据区，右侧是AScII码数据区。不过要看懂其意义绝非易事，十六进制数据区里的信息姑且不说，光拿AscII码数据区来说，除了一些出错提示，如：“Invalid Partion Table(非法的分区表)”等还能看懂，其他的都是一些“乱码”。其实对初学者来讲，根本没必要去全部了解主引导扇区里每一个字节的全部含义，只须要掌握其中3个关键数据结构就可以了。（图4） 硬盘引导标志位：位于主引导扇区数据最前面的3个字节，不同的操作系统、不同的分区工具所产生的硬盘引导标志位可能会有所不同。对微软的操作系统来说，DOS6．x的硬盘标志位是“FA 33 C0”，而W1ndows产生的硬盘标志位是“33 C0 8E”。 分区表开始标志位：位于主引导扇区数据的第447个字节，只可能是“80”或者“00”，其中“80”代表该分区是活动分区，“00”是指非活动分区，显然只能有一个活动分区。 结束标志位：位于主引导扇区数据的最后两个字节，正如前面所说，只能是“55 AA”。 MFT文件记录结构分析 主文件表MFT的文件记录由记录头和属性列表组成，由“FF FF FF FF”结束，一般大小为1K，或一个簇大小（这样一般就更大），记录头包括以下一些域： 偏移 长度（字节） 属性 0X00