数据恢复实战 常驻属性和非常驻属性 NTFS的80H属性.ppt

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 NTFS 80H属性 目录 01 常驻80H属性结构 02 非常驻80H属性结构 03 数据流的详细含义 1.常驻80H属性结构 EDITED BY LIUJUN * 数据恢复实战 80H类型属性即$DATA属性 该属性容纳着文件的内容，文件大小一般指的就是未命名数据流的大小 该属性没有最大最小限制 最小情况是该属性为常驻属性，可以不占用除MFT以外的空间 当文件属性能够在文件记录中完全存储下来而不需要存储到其他的DATA Run（数据流）中时，这种属性就是常驻属性 常驻80H属性结构 EDITED BY LIUJUN * 数据恢复实战 一个常驻80H类型的属性实例如图，在标准属性头后面是该文件的内容 该内容以“00H”结束，这是因为文件属性的长度总是8的整数倍，当属性结束时并没有达到一个能被8整除的数字时就用“00H”来填充 常驻80H属性结构 EDITED BY LIUJUN * 数据恢复实战 从属性头可以看到，这是一个常驻属性 在标准属性头后面是该文件的内容，即“shujuhuifu” 看到属性结束时并没有达到一个能被8整除的数字，所以用了6个“00H”来填充 2.非常驻80H属性结构 EDITED BY LIUJUN * 数据恢复实战 从该文件记录的80H属性的属性头可以得知，这是一个非常驻的80H属性 这时候并不像常驻80H属性一样，在标准属性头后面是该文件的内容 这时候文件的内容存储在另一个地方，占用MFT以外的空间 80H属性的第一个数据流也就是文件真正的数据 由DATA Run来记录其属性体即文件数据的具体地址 3.数据流的详细含义 EDITED BY LIUJUN * 数据恢复实战 第一个Data Run的含义描述 字节偏移0x00，字段长度（字节）为1字节，含义为高4位为Data Run（数据流）的起始簇号在这个压缩字节中所占字节数（N）；低4位表示Data Run所占用的簇数在该压缩字节中占用的字节数（L） 字节偏移0x01，字段长度（字节）为L，含义为Data Run所占用的簇数 字节偏移L+1，字段长度(字节）为N,含义为Data Run的起始簇号 数据流的详细含义 EDITED BY LIUJUN * 数据恢复实战 以该图的数据流作为例子，该数据属性的Run List值为“32 D0 08 51 D4 0B”，其具体含义为 数据流的详细含义 EDITED BY LIUJUN * 数据恢复实战 高位3个字节“0B D4 51”表示当前Data Run的起始簇号 将“0B D4 51”转换为十进制为775249 将其乘以每簇扇区数便是数据的起始扇区 回到分区的DBR往下该数据的起始扇区便是该数据内容 低位的两个字节“08 D0”表示Data Run占用簇数 将“08 D0”转换为十进制为2256 乘以每簇扇区数，便是这个文件数据占用的扇区数 总结 1.80H属性有哪两种？ 2.非常驻的80H属性有数据流吗？ 3. 常驻的80H属性，数据内容都在文件记录中吗？ 数据恢复实战 * EDITED BY LIUJUN 谢 谢 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院