NTFS文件系统常用属性表.doc

《NTFS文件系统常用属性表.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、NTFS元文件序号元文件功能0$MFT主文件表本身1$MFTMIRR主文件表的部分镜像2$LOGFILE日志文件3$VOLUME卷文件4$ATTRDEF属性定义列表5$ROOT根目录6$BITMAP位图文件7$BOOT引导文件8$BADCLUS坏簇文件9$SECURE安全文件10$UPCASE大写文件11$EXTENDMETADATADIRECTORY扩展元数据目录12$EXTEND$REPARSE重解析点文件13$EXTEND$USNJRNL变更日志文件14$EXTEND$QUOTA配额

2、管理文件15$EXTEND$OBJID对象ID文件16~23保留23+用户文件和目录文件记录可能的属性类型操作系统名称0X10标准信息0X20属性列表0X30文件名0X40NT卷版本0X402K对象ID0X50安全描述符0X60卷名0X70卷信息0X80数据0X90索引根0XA0索引分配0XB0位图0XC0NT符号连接0XC02K重解析点0XD0 扩展信息0XE0 扩展0XF0NT特权设置0X1002K日志流MFT文件记录头部结构布局偏移长度描述0X04固定值，一定是“FILE”0X42更新序

3、列号的偏移0X62更新序列号与更新数组以字为单位大小（S）0X88日志文件序列号（每次记录被修改，都将导致该序列号加1）0X102序列号（用于记录本文件记录被重复使用的次数，每次文件删除时加1，跳过0值，如果为0，则保持为0）0X122硬连接数，只出现在基本文件记录中，目录所含项数要使用到它0X142第一个属性流的偏移地址0X162标志字节，1表示记录使用中，2表示该记录为目录0X184文件记录实际大小（填充到8字节，即以8字节为边界）0X1C4文件记录分配大小（填充到8字节，即以8字节为边界）

4、0X208所对应的基本文件记录的文件参考号（扩展文件记录中使用，基本文件记录中为0，在基本文件记录的属性列表0X20属性存储中扩展文件记录的相关信息）0X282下一个自由ID号，当增加新的属性时，将该值分配给新属性，然后该值增加，如果MFT记录重新使用，则将它置0，第一个实例总是00X2A2边界，WINDOWSXP中使用，也就是本记录使用的两个扇区的最后两个字节的值0X2C4WINDOWSXP中使用，本MFT记录号0X302更新序列号0X322S-2更新序列数组标准属性的属性头结构偏移大小值描述

5、0X0040X10属性类型（10，标准属性）0X0440X60总长度（包括头部本身）0X0810X00非常驻标志(1表示非常驻)0X0910X00属性名的名称长度0X0A20X18属性名的名称偏移0X0C20X00标志（似乎已经不再使用，统一放在文件属性中）0X0E2属性ID（此处的属性ID不是指与0X10同级别的属性，应该是指下一级属性，如多数据流，每个数据流属性都有一个属性ID，但都是数据流属性0X80）0X104L属性体长度（L）0X1420X18属性内容起始偏移0X161索引标志0X17

6、10X00填充0X18L从此处开始，共L字节为属性标准属性的属性体结构偏移大小操作系统描述~~标准属性头（已经分析过）0X008CTIME–文件创建时间0X088ATIME–文件修改时间0X108MTIME–MFT变化时间0X188RTIME–文件访问时间0X204文件属性（按照DOS术语来称呼，都是文件属性）0X244文件所允许的最大版本号（0表示未使用）0X284文件的版本号（最大版本号为0，则也为0）0X2C4类ID（一个双向的类索引）0X3042K所有者ID（表示文件的所有者，是文件配额

7、$QUOTA中$O和$Q索引的关键字，为0表示未使用磁盘配额）0X3442K安全ID是文件$SECURE中$SII索引和$SDS数据流的关键字，注意不要与安全标识相混淆0X3882K本文件所占用的字节数，它是文件所有流占用的总字节数，为0表示未使用磁盘配额0X4082K更新系列号（USN），是到文件$USNJRNL的一个直接的索引，为0表示USN日志未使用文件名属性的属性头结构偏移大小值描述0X0040X30属性类型（30，文件名属性）0X0440X68总长度（包括头部本身）0X0810X00非

8、常驻标志0X0910X00属性名的名称长度0X0A20X18属性名的名称偏移0X0C20X00标志（0X0001表示压缩，0X4000表示加密，0X8000表示稀疏文件，常驻属性不会被压缩）0X0E20X03属性ID（同标准属性的属性头）0X1040X4A属性长度（L）0X1420X18属性内容起始偏移0X1610X01索引标志0X1710X00填充0X18L从此处开始，共L字节为属性文件名属性体结构布局偏移大小值~~标准的属性头结构（见前表）0X008父目录的文件参考号（即父目录的基本文件记录