NTFS文件解析系统的简单分析.docVIP

NTFS文件解析系统的简单分析 Author：MTrickster QQ E-Mail: MTrickster@163.com 正如我们所知道的，目前主流anti-rootkit检测隐藏文件主要有两种方法，一种是文件系统层的检测(像IceSword自己构造irp包发到文件系统驱动)，另一种就是磁盘级别的低级检测，直接对磁盘的数据进行分析,比如SnipeSword、filereg和unhooker. 最近对第二种方法的一部分(及NTFS文件系统的解析)做了一些学习，于是就写点学习的东西与大家分享，其中有很多错误和不足希望大牛们指出。 准备工作――获取分区的一些基本参数 我们可以用CreateFile打开某个盘，读取偏移为0的扇区的数据。具体的数据结构为： typedef struct tag_NTFSBPB { BYTE bJmp[3];//跳转指令 BYTE bNTFlags[4]; // 文件系统NTFS的为 NTFS BYTE bReserve1[4]; //一般为四个空格 WORD wBytePerSector;//每扇区字节数 BYTE bSectorPerCluster//;每簇扇区数 WORD wReserveSectors;//保留扇区数 BYTE bFatNum; // 总是0 WORD wRootDirNum; //总是 0 WORD wSectorOfParti; //总是0 BYTE bMedium;// WORD wSectorPerFat; //总是0 WORD wSectorPerTrack;// WORD wHeadNum;// DWORD dwHideSector;// DWORD dwSectoOfParti; //总是0 BYTE bDeviceFlag;// BYTE bReserve2;// WORD wReserve3;// ULONGLONG ullSectorsOfParti; //扇区总数 ULONGLONG ullMFTAddr;//$MFT的起始逻辑簇号 ULONGLONG ullMFTMirrAddr;// $MFT的起始逻辑簇号 BYTE bClusterPerFile;// BYTE bReserve4[3];// DWORD dwClusterPerINDX;// BYTE bSerialID[8];// } NTFSBPB, *LPNTFSBPB; 其中最重要的应该就是通过ullMFTAddr获得$MFT的起始逻辑簇号进而找到根 图（1） 目录的位置在进行分析。比如图（1）是通过winhex看到的我的c盘的BPB，其中ullMFTAddr为0x0c0000,根据bSectorPerCluster和wBytePerSector确定$MFT在偏移值为0x0c0000000处，如图（2） 图（2） 这是一个主控文件表，其数据结构为： typedef struct tag_MFTHEAD { BYTE bHeadID[4];//MFT标志，一定为FILE USHORT usFixupOffset;//更新序列号的偏移 USHORT usFixupNum;//更新序列号的大小 BYTE bReserve1[8];// WORD wUnknownSeqNum; // USHORT usLinkNum;// USHORT usAttrOffset;//第一个属性的偏移地址 WORD wResident;// 文件属性标志 ULONG ulMFTSize;//文件记录的实际长度 ULONG ulMFTAllocSize;//记录分配的大小 ULONGLONG ullMainMFT;//基本文件记录的文家索引号 WORD wNextFreeID;// WORD wFixup[0x10];// } MFTHEAD, *LPMFTHEAD; (2)找到根目录位置 我们依次向下找到元数据$Root及根目录的MFT头，一般再其后的0x1400处 图（3） 分析根目录的索引根和索引分配 这应该是解析的最关键的部分了，其中几个重要的数据结构如下。 typedef struct tag_RESIDATTR { ULONG ulDataSize; USHORT usRData