NTFS文件系统内核分析与数据安全.PDFVIP

NTFS文件系统内核分析与数据安全 金山软件股份有限公司 金山毒霸事业部 涂彦晖 提 纲 1 NTFS文件系统内核 2 流与数据安全 3 数据恢复 4 数据销毁 NTFS文件系统内核分析 • 文件 • NTFS文件系统文件可以分两种 • 元数据文件：构造文件系统的文件，任何权限用户不可访问， 不可修改， • 用户文件：用户数据 NTFS文件系统内核分析 • NTFS元数据文件 元文件 功能 $MFT 主控文件表本身 $MFTMirr 主控文件表的部分镜像 $LogFile 日志文件 $Volume 卷文件 $AttrDef 属性定义列表文件 $Root 根目录 $Bitmap 位图文件，记录了卷种簇的分配情况 $Boot 引导文件，记录了用于系统引导的数据情况 $BadClus 卷的坏簇列表文件 $Quota（NTFS4） 在早期的NT系统中此文件为磁盘配额信息 $Secure 安全文件 $UpCase 大小写字符转换表文件 $ Extend metadata 扩展元数据目录 directory $Extend\$Reparse 重解析点文件 $Extend\$UsnJrnl 加密日志文件 $Extend\$Quota 配额管理文件 $Extend\$ObjId 对象ID文件 NTFS文件系统内核分析 • $MFT （Master File Table ） • 包含了NTFS卷中所有文件文件信息的数据库，这些信息被称 为属性 • 在$MFT中每个文件都有至少一个MFT （主控文件表），在 MFT中记录着该文件的各种信息 NTFS文件系统内核分析 普通文件的MFT分析 MFT头 10H类型属性（标准属性信 息） 30H类型属性（文件名属性） 80H类型属性（数据属性） MFT结束标志 NTFS文件系统内核分析 常驻属性与非常驻属性 常驻属性将数据存放在文件存 储区 非常驻属性将数据存放在MFT 中，适合小文件，可以节省磁 盘空间（右图为一非常驻80H 类型属性的例子） NTFS文件系统内核分析 目录的MFT分析 MFT头 10H类型属性（标准属 性信息） 30H类型属性（文件名 属性） 90H类型属性（索引根 属性） A0H类型属性（索引分 配属性） B0H类型属性（位图属 性） MFT结束标志 NTFS文件系统内核分析 文件索引的结构 • 标准索引头（在每 4KB的一个索引块中 有一个文件索引的标 准索引头 ） • 索引项（每个索引项 记录了一个文件或子 目录的文件名、该文 件MFT号、父目录 MFT号等信息） NTFS文件系统内核分析 • $LogFile 的 MFT 日志文件的结 构非常复杂，目 前其具体结构未 知。 原子操作的 实现依赖于日志 文件。 NTFS文件系统内核分析 • $LogFile 日志