ntfs文件系统1.docVIP

一，ntfs文件系统 nt文件系的统主要特征是在引导记录了描述的。这些文件系统从引导扇区的位置开始直至这些磁道加上卷（分区）里的磁道区域。分区是由簇构成，而且只能是簇（512字节）的整数倍。每个分区的开始地址是（逻辑）0簇。 任何（软件的磁盘）定位系统都是用簇而不是磁道号。各种（磁盘）信息储存在文件分配表（MFT）里。文件分配表的位置在引导扇区的“第一文件分配表”表项里给出。文件分配表是一个数据库，包含了此分区的所有文件及目录的信息。每一个表项是1024字节（fat32是4个字节，fat16是2个字节，fat12是1.5个字节）。每一个表项记录一个文件或目录（包括文件分配表自己），并且有一个记录号等于文件分配表的位置除以1024。文件分配表的表项由一个表头和表示文件或目录属性的列表组成。这些属性描述了文件或目录的名称、时间、大小等。主要的属性如下： 10 Standard information: contains time stamps and DOS attributes, 30 File name: contains the files name for different name spaces (usually NTs native Unicode file name and DOS compatible DOS file name), 80 Data: if the entry represents a file, this attribute contains the files data. 90 Index root: if the entry is a directory, this attribute describes the root of a binary tree in which the directory entries are located, A0 Index allocation: if the entry is a directory, this attribute contains a list of file names. 这些属性表比1024字节大，意味着一些属性必须记录在文件分配表表项外。在这种情况下，就有一个运行列表（run list）记录这些在表项外的数据。运行列表实质上是簇的使用列表。 二，文件条目表项细节 任何一个文件或目录都被至少一条文件分配表项所描述。文件分配表位于一个系统文件，叫做$MFT。这个文件能够理解为包括每一个文件和目录的数据库。每一个文件分配表的条目默认1024字节。MFT条目位置由序号标志。例如：第100条的地址为100*1024。开始的16条为保留区域，第0条是最重要的，它描述了文件分配表自己，其次第5条描述根目录 。 实例： 一个典型的6G硬盘，一个NTFS分区。 引导记录如下： 或这样看： 于是第一个文件分配表(MFT)就在25256(0x000062A8)处，每个表项2个磁道。 注意：此分区每个磁道一个簇，这也是ntfs比fat32节省空间的原因。 第一个表项： 此文件就是文件分配表$MFT,文件名如此. 0 1 2 3 4 5 6 7 8 9 A B C D E F 46 49 4C 45 2A 00 03 00 B0 7B A4 A5 00 00 00 00 01 00 01 00 30 00 01 00 B0 01 00 00 00 04 00 00 00 00 00 00 00 00 00 00 08 00 0F 07 00 00 00 00 10 00 00 00 60 00 00 00 00 00 18 00 00 00 00 00 48 00 00 00 18 00 00 00 60 56 5E D5 0D A4 C1 01 60 56 5E D5 0D A4 C1 01 60 56 5E D5 0D A4 C1 01 60 56 5E D5 0D A4 C1 01 06 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 30 00 00 00 68 00 00 00 00 00 18 00 00 00 03 00 4A 00 00 00 18 00 01 00 05 00 00 00 00 00 05 00 60 56 5E D5 0D A4 C1 01 60 56 5E D5 0D A4 C1 01 60 56 5E D5 0D A4 C1 01 60 56 5E D5 0D A4 C1 01 00 B4 44 00 00 00 00