解析NTFS底层结构.pdf

《解析NTFS底层结构.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、解析底层结构一、系统结构是引入的新型文件系统，如果您是一位熟悉磁盘格式的专业人士，您可能会觉得系统的思想蹩脚而晦涩，如果您对格式一无所知，那么恭喜您，您会更快的了解这种更有效率的磁盘格式。的结构复杂，内容繁多，笔者仅对卷上的底层结构做分析，并提供卷上数据删除的特征状态供大家参考。现在，我们首先来建立了解需要的基本概念。基本结构及基本概念在中，文件以簇的形式分配。最小的单位为扇区，个扇区为一簇。其中，的值可以通过（引导扇区）读出（以下会详细介绍）。1.0.1卷与簇卷大小（分区大小）每簇的扇区缺省的簇大

2、小小于等于字节()字节()()字节()大于等于表卷与簇的关系从上面可以看出，也就是说不管驱动器多大簇的大小不会超过。的基本数据结构的数据大体上可分为个部分（）（引导扇区，又称），此部分为所有磁盘格式都共有，占用一个扇区，但是具体的内容当然各不相同（见表）。（）（主文件列表，），它是对卷上所有文件的记录，每一个文件对应一个记录项，理论上占用该卷％的空间。（）（系统文件），系统一共有个系统文件，和个保留文件。（）（数据区），留给用户的空间。引导扇区主文件列表系统文件用户文件区（数据区）表的磁盘分配情况1

3、.0.3中关于目录的说明中目录也是以文件的形式存在的。因此，每一个目录也可以看作一个文件。如果您熟悉，那么此时您可能会觉得很别扭，因为在中，文件是以目录－文件的树型结构联系起来的。但是，您必须相信的是，将会提供比搜索树更快的读写方式。引导扇区字节偏移长度（字节）常用值意义指令文件系统每扇区字节数每簇扇区数保留扇区总为未使用，为介质描述总为3F每磁道扇区数1A磁头数1C3F隐含扇区1/10未使用，为未使用，为57F扇区总数$的逻辑簇号$的逻辑簇号每记录簇数每索引簇数14A74C741C卷标校验和略引导

4、代码签名表引导扇区说明（主文件表）是一个对应的数据库，由一系列的文件记录组成。卷中每一个文件都有一个文件记录（对于大型文件还可能有多个记录与之相对应）。主文件表本身也有它自己的文件记录。如果您还不胜了解，那么我们来打个比喻。假设一个班有个人，老师那里有一本花名册，记录了每个人的名字，年龄，每天出勤的情况和科目成绩等等。把每个人看做每一个文件，那么那本花名册就是这里的。当然，事实往往是复杂而多变的，中包含文件的哪些信息？这些信息又是如何关联的？这些问题，我们会一个个解决。现在首先对做几点必要的说明：（

5、）实际上，自身也是一个文件，因此，主文件列表的第一个记录就是它自身。所以，刚才的例子其实不太贴切，因为事实上，花名册也是人，那么好吧，我们假设这本花名册在老师的脑子里。这样，您可以知道，既然老师也是人，那么其实老师也是一个文件。（）的每个记录都有一个编号，这里我们称它为号。这个从开始。我们知道自身是系统的第一个文件，所以文件$的号为。（）$和其他个文件一起（共个），组成所谓的“”（元文件，也是之前提到的，系统文件）。这个文件中，前（为）个文件是固定的，剩下的个文件为保留文件。我们可以假设，这个系统文

6、件为此班的任课老师，因为虽然他们也是人，但是属性跟普通的同学不一样，他们管理着整个卷的活动方式，正如老师们管理着整个班级一样。（）用户的文件（也包括目录）的中的号从开始排。（）用户每添加一个文件号加，当某文件被删除时，与之对应的记录将被空出来，如果此时再次添加文件，系统会优先填充小的空位。正如，大家上课的时候都会抢前排的位子坐，但是坐定之后就不能换位子了。（）无论簇的大小，文件记录大小都是，老师脑中的花名册对每个人都是公平的。（）理论上$在卷中的分配空间（占％）。（）逻辑上，$在卷中会占用一块连续的

7、空间，但实际情况$可能会被分散在磁盘的几个不同的区域。甚至，可能在元文件的部分就被拆分开。据笔者分析，这些情况的发生可能由于卷上的文件不断增加，最先开辟的$文件已经用完，系统会再次开辟空间存放文件记录。另一种情况是，卷是由或者其他格式转化而来，当卷空间不足的时候，也可能将分散存储。中的元文件（固定）以下是元文件的列表。其中为的文件为系统文件，用户文件从第个记录开始排。序号（）元文件功能$主文件列表本身$主文件表的部分镜像$日志文件$卷文件$属性定义列表矚慫润厲钐瘗睞枥庑赖賃軔朧。$根目录$位图文件$

8、引导文件$坏簇文件$安全文件$大写文件$扩展文件（一共个文件）保留表元文件1.2.2中的备份2/10在中，因其前个文件的重要性，对它们的记录在文件区有一个备份。如图：图的备份中的$(位图)文件在元文件中，除了$文件还有一个位图文件十分重要。文件$标识的是该卷中簇的占用情况。它用一位代表一簇。为代表此簇空闲，为代表此簇已使用。这样可以更合理的分配磁盘空间。当文件被删除，它所占用的簇对应的为会被清空（置）。通过这个文件管理卷的使用情况。聞創沟燴鐺險爱氇谴净祸測樅。二、文件