NTFS+白皮书.doc

硬件白皮书 NTFS文件系统规范 关键字：Windows NT NTFS 文件系统 NTFS作为Microsoft Windows NT?操作系统的标配文件系统克服了FAT/FAT32文件系统的大量缺点；同时又随着Microsoft Windows 2000?、Microsoft Windows XP操作系统的推广得到越来越广泛的应用。 和FAT/FAT32文件系统相比，NTFS文件系统主要有以下优点。 ?支持大容量存储单元（最大支持GB） ?内建数据压缩支持 ?支持事务日志文件 ?加强数据安全 目录 基本数据类型 3 MFT文件记录 3 更新序列号 4 虚拟簇号 4 逻辑簇号 4 数据流描述 4 系统文件 6 $MFT 7 未命名数据流格式 7 $MFTMirr 7 未命名数据流格式 8 $LogFile 8 Log file restart page header 8 Log file restart area record:(40 字节) 9 Log client record 9 $Volume 9 未命名数据流格式 9 $AttrDef 10 未命名数据流格式 10 整理规则 10 $AttrDef Flags 10 . (Root Directory) 10 $MountMgrDatabase 数据流 11 $Bitmap 11 $Boot 11 引导扇区与BPB 11 $BadClus 13 $Secure 13 $SDS 数据流 13 $SDH Index 13 $SII Index 14 $UpCase 14 未命名数据流格式 14 $Extend 15 $ObjId 15 $ObjId:$O 15 $Quota 15 $Quota:$O 16 $Quota:$Q 16 $Quota flags 17 $Reparse 17 $Reparse:$R 17 $UsnJrnl 18 $UsnJrnl:$J 18 $UsnJrnl reason flags 18 $UsnJrnl source info flags 19 $UsnJrnl:$Max 20 文件属性记录 20 属性记录头 21 STANDARD_INFORMATION (0x10 常驻属性 len=0x30,0x48) 22 ATTRIBUTE_LIST (0x20 len > 26) 23 FILE_NAME (0x30 常驻属性 len = 68~578)) 24 VOLUME_VERSION (0x40 NT) 25 OBJECT_ID (0x40 2K) 25 SECRUITY_DESCRIPTOR (0x50 ) 26 VOLUME_NAME (0x60) 26 VOLUME_INFORMATION (0x70 len = 0x0c ) 26 DATA (0x80) 27 INDEX_ROOT (0x90) 27 索引块头(16 bytes) 28 索引项（目录项） 28 INDEX_ALLOCATION (0xA0大目录使用) 28 IA索引块(INDEX_ALLOCATION指向的外部索引区) 29 BITMAP （0xB0 MFT文件或外部索引块使用） 29 SYMBOL_LINK (0xC0 NT) 29 REPARSE_POINT (0xC0 2K) 29 EA_INFORMATION (0xD0 ) 30 EA (0xE0 ) 30 PROPERTY_SET (0xF0 NT) 31 LOGGED_UNTILITY_STREAM (0x100 2K) 31 NTFS卷初始化 31 分区结尾与备份主引导扇区 31 目录结构 31 基本数据类型 FILE Record are used in the $MFT, INDX Records in indexes, RCRD and RSTR Records in the $LogFile. MFT文件记录 文件记录是$MFT文件的基本组成部分，卷中的所有文件都由至少一个文件记录来描述，对于使用多个文件记录的文件，其第一个文件记录叫基本文件记录，其余的叫做扩展文件记录。 文件记录由记录头,数个文件属性和结束标志(0xFFFFFFFF)组成。 文件记录头格式： 名字 偏移 尺寸 描述 FR_Sign 0 4 记录签名：值为：‘ELIF’ FR_USOff 4 2 更新序列号的偏移(M) (相对文件记录头) FR_USNSz 6 2 更新序列号个数+1(N) FR_LSN 8 8 日志文件序列号，该值在记录每次被修改时都会被改动 FR_SN 0x10