NTFS文件系统结构分析

NTFSNTFS2NTFS512MFT--NTFS64bitFileReferenceNumber48MFTNTFSNTFSLogicalClusterNumberLCNVirtualClusterNumberVCNLCNLCNNTFSVCNVCNLCNNTFSB+--B+--B+NTFSNTFSNTFSNTFSMFT(MasterFileTable)MFTMFT(FileRecord)FileRecord1KBLinuxinodeiFileRecordMFT0MFTNTFS(metadata)16NTFS$()Windows2000dir(/ah)FileSystemDriver(ntfs.sys)NTFSProtectSystemFilesOEMTOOL,NFI.EXE,NTFSNFIC:\nfiC:|MOREWINDOWS2000WINDOWS2000WINDOWS2000WINDOWS2000WINDOWS2000WindowsFATFATNTFS$MFT$MFTMirrNTFSNTFS5MFTbasefilerecordMFT1MFTMFTMftMirrMFT23LogFileNTFSNTFSNTFSNTFS4VolumeNTFSNTFSChkdsk5AttrDefattributedefinitiontable6NTFSMFT7BitmapNTFSbitNTFSFATFAT8BootWindows2000/XPFormatNTFSNTFSI/O9BadClus10SecureNTFSNTFS11UpCaseuppercasefile12Extendedmetadatadirectory13$Extend\$Reparse14$Extend\$UsnJrnl15$Extend\$Quota16ID$Extend\$ObjId1723MFT16NTFSNTFS12%MFTMFTMFT12%88%--MFTMFTWindowsMFTMFTMFTMFTNTFSMFTNTFSNTFSBootMFTVCNLCNMFTrunextentNTFSMFTNTFSNTFSNTFS/MFTstreamNTFSNTFS1500MFTMFTB+MFTNTFSMFTMFTresidentattributeNTFSNTFSMFTNTFSNTFSFATFATMFTNFI.txt36File36.txt$STANDARD_INFORMATION(resident)$FILE_NAME(resident)$FILE_NAME(resident)$DATA(resident)DATAWINHEXMFTMFTMFT1KBMFTNTFSMFTrunextentNTFSMFTnonresidentattributeNTFSNTFSMFTindexbufferMFTMFTNTFSVCN-LCNrunLCN0nVCN0mVCNLCNVCN2VCN8VCNNTFSNTFSVCN-LCNVCN-LCNMFTMFTMFTattributelistMFTVCN-LCNMFT200