NTFS文件系原理.doc

NTFS文件系统原理 CYAN-亓英军 摘要（Abstraction） NTFS 文件系统是Microsoft公司的Windows NT4.0、Windows 2000、Windows XP所支持的文件系统，迄今为止，Microsoft尚未公开的实现格式，为许多有关NTFS文件系统的程序开发者设置了巨大的障碍。本文详细介绍了NTFS文件系统在磁盘上的实现格式、NTFS文件系统采用的各种技术，是程序员开发在非NT下访问NTFS文件系统的应用程序成为可能。 本文关键字：NTFS、文件系统。 二、NTFS文件系统概述（Introduction） 数据在磁盘上是以文件为单位进行存储的，而树状的目录结构可大大加快文件查找的速度，目录和文件共同构成一个文件系统。一个目录本质上也是一个文件，它的数据构成了对该目录下所有文件的文件名的索引，操作系统根据这些索引数据可快速的定位文件的位置。各种文件系统的本质是相同的，NTFS文件系统也是如此，但是其具体实现有所不同。 NTFS的目录是一棵B+树，其所有叶子节点的深度是相同的。B+树的每个叶子节点可以包含若干个Key,节点内的Key在物理上是连续的，这样可以保证一次读取节点的全部Key，减少操作系统磁盘IO的次数，提高系统的性能。在NT(NT4.0Windows2000)下将一个分区格式为NTFS分区时，Format程序首先在分区上建立11个系统文件，它们是：$MFT、$MFTMirr、$LogFile、$Volume、$AttrDef、$.(Root)、$Bitmap、$Boot、$BadClus、$Quota、$Upcase。在MS Dos方式下可用命令 dir /ah filename看到它们。这11个文件是NTFS文件系统的基础。 三、NTFS的系统文件 3.1 $MFT文件 $MFT(Master File Record Table)文件是NTFS文件系统的核心，所有文件的信息都存储在该文件中，该文件的数据是以文件记录（File Record）为单位进行存储的，每个文件（包括一般文件和目录文件）在$MFT文件中都对应至少一个文件记录（File Record），每个文件记录的大小为1024个字节或1簇（如果1簇的字节数大于1024）。目录是对其下所有文件的文件名的索引，索引的目标是根据文件名快速的确定文件对应的文件记录在$MFT文件中的序号（位置）。 $MFT文件本身对应第1条$MFT的文件记录。 $BOOT文件的第４８(0x30)个字节开始的８个字节的整数表示了$MFT文件在该分区上的起始簇号。一般$MFT文件开始于该分区上的第4簇,即第32个扇区。 3.2 $MFTMirr文件 $MFTMirr(Master File Record Mirror):如其文件名所示，$MFTMirr文件是$MFT文件的备份。但是它只备份$MFT文件的前4条记录。 $MFTMirr文件的位置：$BOOT文件的第56(0x38)个字节开始的８个字节的整数表示了$MFT文件在该分区上的起始簇号。一般$MFTMirr文件开始于该分区中间位置。. $MFTMirr文件对应第2条$MFT 文件的文件记录。 3.3 $Logfile文件 $Logfile文件保存了操作系统对该卷操作的事务记录（Transaction Record）,系统突然崩溃后，再启动时系统可以根据这个文件的数据保证文件系统的数据完整性。 $Logfile文件对应第3条$MFT 文件的文件记录。 3.4 $Volume文件 $Volume文件包含了该卷的卷信息，例如文件系统的版本号、卷标、该卷是否被读写等等。 $Volume文件对应第4条$MFT 文件的文件记录。 3.5 $AttrDef文件 该文件包含了对本卷中用到的所有属性的定义。文件由若干条记录组成，每条记录定义一个文件属性，记录的数据格式如下表所示： Offset to the beginning of the record Length Description 0 80 Label in Unicode 80 8 Type 88 8 Flags 90 8 Minimum allowed size 98 8 Maximum allowed size $AttrDef的存在可使用户定义自己的属性，也可使旧版本的NT较为安全的读写新版本的NTFS卷。 $AttrDef文件对应第5条$MFT文件的文件记录。 3.6 $.文件 $.文件对应的文件为根目录，更确切的说应该是根目录文件，它没有$Data属性，因此用户看不到它的数据，$。文件的数据是对其下的所有文件（包括目录文件）索引。 $。文件对应第6条$MFT文件的文件记录。 3.7 $Bitmap文件 $Bitmap文