NTFS引导扇区结构.ppt

教学目标与行业要求相适应◆教学内容与就业创业相适应教学方法与学做合一相适应◆教学评价与职业要求相适应教学目标与行业要求相适应◆教学内容与就业创业相适应教学方法与学做合一相适应◆教学评价与职业要求相适应重庆电子工程职业学院重庆电子工程职业学院NTFS引导扇区结构一、引导扇区结构四NTFS分区的引导扇区和FAT分区有些相似，同样都是由BPB和DBR组成，扇区末尾也是由“55AA”结束，表给出了引导扇区内部的定义。字节偏移大小含义00H3B跳转指令（EBH52H90H），跳至54H处DBR部分03H8BOEM名（明文“NTFS”）0BH2B每扇区字节数（通常为200H）0DH1B每簇扇区数（值为2的N此方，通常为8）0EH2B保留扇区数（Microsoft要求置为0）10H5B未使用（Microsoft要求置为0）15H1B介质描述符，硬盘为F816H2B未使用（Microsoft要求置为0）18H2B每磁道扇区数（通常为3F）字节偏移大小含义1AH2B每柱面磁头数（通常为FF）1CH4B隐含扇区数（本分区前的扇区总数）20H4B未使用（Microsoft要求置为0）24H4B未使用（总是为）28H8B分区扇区总数（此值比分区表描述扇区数小1）30H8B$MFT起始簇号38H8B$MFTMirr的起始簇号40H4B每个MTF区块占用簇数44H4B每个索引缓冲区块占用簇数45H3B未使用48H8B分区的逻辑序列号，格式化的时候随机产生50H4B校验和54～1FDH426B引导记录代码（DBR）1FE～1FFH2B引导扇区签名“55AA”仔细观察上表，虽然BPB参数很多，但重要的其实只有两个，分区占用扇区总数和$MFT起始簇号，在表中已加粗显示，其他的要么是固定值，要么不重要。对照图4-2，可以看出，此分区的占用扇区数也就是大约8GB，$MFT的起始位置在6291456号簇，由于每簇扇区数为1，所以也就是6291456号扇区图4-2NTFS引导扇区图示NTFS的引导扇区如果遭到破坏，同样可以使用备份的引导扇区记录来恢复，只是NTFS的备份引导扇区存于分区末尾处，这样对于普通的破坏攻击有较好的保护作用。它存放的形式很巧妙：假设在分区表中标识了该分区大小为N，则在格式化为NTFS分区的时候，在引导扇区的BPB里面给出本分区占用扇区数为N-1，这样在分区表容量和分区内标注的容量间就有1个扇区的空隙，这个扇区既不会被本分区操作访问到，也不会被分区工具破坏掉，备份引导扇区就存放在这里。四、任务总结本次课主要给学习了:NTFS引导扇区结构教学目标与行业要求相适应◆教学内容与就业创业相适应教学方法与学做合一相适应◆教学评价与职业要求相适应教学目标与行业要求相适应◆教学内容与就业创业相适应教学方法与学做合一相适应◆教学评价与职业要求相适应重庆电子工程职业学院重庆电子工程职业学院