高中信息技教学论文 探索NTFS.doc

探索NTFS NTFS是Windows?NT引入的新型文件系统，它具有许多新特性。本文旨在探索NTFS的底层结构，所叙述的也仅是文件在NTFS卷上的分布。NTFS中，卷中所有存放的数据均在一个叫$MFT的文件中，叫主文件表(Master?File?Table)。而$MFT则由文件记录(File?Record)数组构成。File?Record的大小一般是固定的，通常情况下均为1KB，这个概念相当于Linux中的inode。File?Record在$MFT文件中物理上是连续的，且从0开始编号。$MFT仅供File?System本身组织、架构文件系统使用，这在NTFS中称为元数据(Metadata)。以下列出Windows?2000?Release出的NTFS的元数据文件(我将要给出的示例代码的部分输出结果)。 ????File?Record(inode)?FileName ????? ??????????0?????????????$MFT ??????????1?????????????$MFTMirr ??????????2?????????????$LogFile ??????????3?????????????$Volume ??????????4?????????????$AttrDef ??????????5?????????????. ??????????6?????????????$Bitmap ??????????7?????????????$Boot ??????????8?????????????$BadClus ??????????9?????????????$Secure ?????????10?????????????$UpCase ?????????11?????????????$Extend ????Windows?2000中不能使用dir命令(甚至加上/ah参数)像普通文件一样列出这些元数据文件。实际上File?System?Driver(ntfs.sys)维护了一个系统变量NtfsProtectSystemFiles用于隐藏这些元数据。默认情况下，这个变量被设为TRUE，所以使用dir?/ah将得不到任何文件。知道这个行为后使用i386kd修改NtfsProtectSystemFiles后即可以列出元数据文件： ????kd?x?ntfs!NtfsProtect* ????fe213498??Ntfs!NtfsProtectSystemFiles ????fe21349c??Ntfs!NtfsProtectSystemAttributes ????kd?dd?ntfs!NtfsProtectSystemFiles?l?2 ????fe213498?00000001 ????kd?ed?ntfs!NtfsProtectSystemFiles?0 ????kd?dd?ntfs!NtfsProtectSystemFiles?l?2 ????fe213498?00000001 ????kd ????D:\ver ????Microsoft?Windows?2000?[Version?5.00.2195] ????D:\dir?/ah?$* ?????驱动器?D?中的卷是?W2KNTFS ?????卷的序列号是?E831-9D04 ?????D:\?的目录 ????2000-04-27??19:31???????????????36,000?$AttrDef ????2000-04-27??19:31????????????????????0?$BadClus ????2000-04-27??19:31???????????????67,336?$Bitmap ????2000-04-27??19:31????????????????8,192?$Boot ????2000-04-27??19:31???????DIR??????????$Extend ????2000-04-27??19:31???????????13,139,968?$LogFile ????2000-04-27??19:31???????????27,575,296?$MFT ????2000-04-27??19:31????????????????4,096?$MFTMirr ????2000-04-27??19:31??????????????131,072?$UpCase ????2000-04-27??19:31????????????????????0?$Volume ??????????