数据备份与恢复 课后：思考与训练 NTFS文件系统的元文件(PPT).pptx

课程名称：数据备份与恢复知识点：NTFS文件系统的元文件四川邮电职业技术学院 成友才NTFS文件系统的元文件 NTFS文件系统是采用文件记录的方式进行管理的，卷中所有存放的数据均在一个叫做MFT的文件记录数组中，称为主文件表(Master File Table)。MFT则由文件记录(File Record)数组构成。MFT是由高级格式化产生的。MFT中的文件记录大小一般是固定的，不管簇的大小是多少，均为1KB。文件记录在MFT文件记录数组中物理上是连续的，且从 0开始编号，所以，NTFS是预定义文件系统。MFT仅供系统本身组织、架构文件系统使用，这在NTFS中称为元数据（metadata，是存储在卷上支 持文件系统格式管理的数据。NTFS文件系统的元文件在MFT中，最基本的前16个记录是操作系统使用的非常重要的元数据文件。这些元数据文 件的名字都以“$”开始，是隐藏文件。每项MFT记录 详细记录了文件或者目录的具体内容，这些内容按照不同的性质分成不同的属性，从而组成了记录文件或者目录结构的属性列表。这些元数据组成了管理NTFS文件系统的最基础架构功能，是管理用户MFT文件记录的基础。每个MFT记录都对应着不同的文件，如果一个文件有很多属性或是分散成很多碎片，就很可能需要多个文件记录。这时，存放其文件记录位置的第一个记录就叫做“基文件记录”（base file record）。NTFS文件系统的元文件MFT中的第1个记录就是MFT自身。由于MFT文件本身的重要性，为了确保文件系统结构的可靠性，系统专门为它准备了一个镜像文件（$MFTMirr），也就是MFT中的第2个记录。$MFTMirr一般只记录$MFT的前四个记录。第3个记录是日志文件（$LogFile）。该文件是NTFS为实现可恢复性和安全性而设计的。当系统运行时，NTFS就会在日志文件中记录所有影响NTFS卷结构的操作，包括文件的创建和改变目录结构的命令，例如复制，从而在系统失败时能够恢复NTFS卷。第4个记录是卷文件（$Volume），它包含了卷名、被格式化的卷的NTFS版本和一个标明该磁盘是否损坏的标志位（NTFS系统以此决定是否需要调用Chkdsk程序来进行修复）。NTFS文件系统的元文件第5个记录是属性定义表（$AttrDef，attribute definition table），其中存放了卷所支持的所有文件属性，并指出它们是否可以被索引和恢复等。第6个记录是根目录（\），其中保存了存放于该卷根目录下所有文件和目录的索引。在访问了一个文件后，NTFS就保留该文件的MFT引用，第二次就能够直接进行对该文件的访问。第7个记录是位图文件（$Bitmap）。NTFS卷的分配状态都存放在位图文件中，其中每一位（bit）代表卷中的一簇，标识该簇是空闲的还是已被分配了的，由于该文件可以很容易的被扩大，所以NTFS的卷可以很方便的动态的扩大，而FAT格式的文件系统由于涉及到FAT表的变化，所以不能随意的对分区大小进行调整。NTFS文件系统的元文件第8个记录是引导文件（$Boot），它是另一个重要的系统文件，存放着Windows 2000/XP的引导程序代码。该文件必须位于特定的磁盘位置才能够正确地引导系统。该文件实际上就是分区的DBR扇区。该文件是在Format程序运行时创建的，这正体现了NTFS把磁盘上的所有事物都看成是文件的原则。意味着虽然该文件享受NTFS系统的各种安全保护，但还是可以通过普通的文件I/O操作来修改。第9个记录是坏簇文件（$BadClus），它记录了磁盘上该卷中所有的损坏的簇号，防止系统对其进行分配使用。NTFS文件系统的元文件第10个记录是安全文件（$Secure），它存储了整个卷的安全描述符数据库。NTFS文件和目录都有各自的安全描述符，为了节省空间，NTFS将具有相同描述符的文件和目录存放在一个公共文件中。第11个记录为大写文件（$UpCase，upper case file），该文件包含一个大小写字符转换表。第12个记录是扩展元数据目录（$Extended metadata directory）。第13个记录是重解析点文件（$Extend\$Reparse）。第14个记录是变更日志文件（$Extend\$UsnJrnl）。NTFS文件系统的元文件第15个记录是配额管理文件（$Extend\$Quota）。第16个记录是对象ID文件（$Extend\$ObjId）。第17～23记录是是系统保留记录，用于将来扩展。从MFT的第24个记录开始存放用户的文件记录。提示：$MFT文件和$MFTMirr文件的地址在DBR中，可以通过BPB中找到这两个文件的起始簇号。文件记录的结构文件记录由两部分构成，一部分是文件记录头，另一部分是属性列表，最后结尾是四个“