自己研究的NTFS文件定位.docVIP

有很多刚刚学习NTFS文件系统，可能都会有这个困扰，了解了DBR MFT 10 30 80 属性datarun后，还是不会怎么去定位目录或者或者子目录MFT。因为我看了很多书上面都没有讲解怎么去定位！网上资料也很抽象，很难理解，所以我在这里把我自己学习过程中的一点认识写上来，希望能够帮助大家。 DBR MFT 我就不讲了。直接从定位开始， NFTS文件存储结构图 DBR数据$MFT数据MFTmirr数据备份DBR在这里我要记住第5号元文件记录为根目录记录MFT 也就是 好，现在进入正题，因为每个目录（文件）都有一个MFT，而子目录的MFT的首地址正是根据他的父目录的MFT来定位的，所以NTFS的文件系统中MFT正好形成了一棵树（是不是和FDT差不多，但是复杂多了）,所以大家可以想到，要定位树上叶子的位置，你必须知道ROOT（根）的位置吧，自然而然，我们就必须得到根目录的MFT的首扇子区号。大家看到这里，想必都MFT有个大概的了解了吧，通过查阅MFT的相关资料，我们可以得知：5号MFT，遍是根目录的MFT区！！那么如何得到5号MFT的首扇区号呢.?我们可以通过DBR，通过DBR的参数（具体请自己查阅）我们可以获得0号MFT的首簇号,因为一个MFT占用2个扇区，我们可以轻松得知5号MFT的首扇区号(这个都不会算的话，那我也没办法了…),好现在知道了根目录的MFT…那我们就可以通过这个MFT寻找他所有直接子结点的MFT，好，现在基本方法大家都知道了吧，比如我们要定位D:\\a\\b\\c.txt这个c.txt文件，那么通过根目录的MFT我们可以定位到a的MFT,再由a的MFT获取b的MFT，由b的MFT获取c.txt的MFT,最后由c.txt的MFT分析可得这个TXT文件的DATA扇区号。这样大家的思路是不是清楚了。 这里我以实例来说明如何定位，H盘有个文件 路径是H:\111\222\nihao.txt 首先要找到我们111目录的MFT表。从第5号元文件，也就是索引根目录 也就是ROOT DIRECTORY， 3083336扇区，我们可以从第5号MFT算出它的位置 我们打开第5号MFT 80属性的运行就是我们需要找的位置， 31 01 FE FF 03 开始簇号为262142 大小为1簇，转换为扇区也就是簇乘以8等于3083336，当然如果打开的是物理盘有MBR或者EBR要加上MBR扇区，我这里打开的是逻辑盘，所以不用加，我们跳转到3083336扇区，看看是不是根目录。 49 4E 44 58 这个就是跟目录索引，在这个里面存放所有根目录下面的所有文件或者目录的以unicode编码的文件名，我们可以用winhex搜索！首先我们要知道文件名的UNICODE编码是什么，这里我们用文本输入文件名，然后保存UNICODE编码，用winhex打开，去掉见面的FF FE 后面就是该文件或目录UNICODE编码，这里我们为111的目录为例！ 这里我们111的目录UNICODE编码是31 00 31 00 31 00 我们在根目录里面搜索 31 00 31 00 31 00 很快我就找到匹配项目 然后我们向上数5行，我是这样数的，呵呵，因为我不了解这里的结构，但是我实验过多次就是这个地方。就是这个目录的。。这里是1D 00 00 00 MFT 记录编号！（不明白记录编号的可以查下MFT文件记录 ） 转换10进制为29，所以它的位置是29*2+$MFT扇区号 （2097152）=2097210 我们在跳转到2097210 ，看看是不是111目录的记录文件 从30属性里面可以看出这个就是111目录的记录项。 这里我们已经完成的对根目录 文件和目录定位。接下来才是重要的，对子目录和文件的定位，也是我看了很多书上面讲解的不详细的地方。现在我们已经定位了H盘下面的111目录，现在我们在来定位111目录下面的222目录，而111也有一个索引根，我是这样理解的，可能跟书上不一样，每个文件夹都有自己的索引根（里面文件的90记录超过2个扇区，没有超过其实是直接放在90属性里面的）从上面这副图我们看到A0属性的运行时31 01 87 E1 05!A0属性其实就是存放在簇外面的根索引位置记录。87 E1 05 的簇号是385415 转换为扇区是6166520，我们跳转到6166520扇区，看看里面是什么。 494E4458 是不是感觉根目录索引一样？其实是不是一样我也不清楚，呵呵。但是不是一个。以前不细心，老以外和根目录索引是一个，其实外部索引都是494E4458开头。接下来我们来搜索222的目录UNICODE名字。32 00 32 00 32 00 ！直接搜索到了，就在本扇区上面，然后向上数5行，35 00 00 00文件记录编号 转换成10进