NTFS文件屬性,M6-2本單元主要內(nèi)容,NTFS文件屬性,二,四,M6-2本單元重難點,重點主控文件表結(jié)構(gòu)屬性頭結(jié)構(gòu)基本文件屬性難點主控文件表結(jié)構(gòu)屬性頭結(jié)構(gòu),一、主控文件表結(jié)構(gòu),主控文件表（MFT）在NTFS文件系統(tǒng)中的地位非常重要，它記載了該分區(qū)中所有的文件記錄信息，甚至還可以包括文件數(shù)據(jù)。在格式化時，系統(tǒng)首先確定了主控文件表的起始位置和大小。主控文件表本身也被當做文件管理，就是$MFT元文件。,一、主控文件表結(jié)構(gòu),主控文件表由若干個文件記錄項組成，每個文件記錄項占1024字節(jié)，也就是2個扇區(qū)。在NTFS分區(qū)中，每個文件都有一個編號，元文件占了頭16個文件記錄項，編號為0到15，16到23是保留項，用戶文件從24號開始。其中，第0項便是$MFT。,一、主控文件表結(jié)構(gòu),MFT區(qū)域中的每個記錄項都分為記錄頭和屬性列表兩個部分，記錄頭里包含了本記錄項的總體情況和信息，屬性列表里列出了該文件的所有屬性。不同的文件可以有不同的屬性，因此，屬性列表的大小是可變的，在所有屬性的最后是結(jié)束標志FFFFFFFFH。,一、主控文件表結(jié)構(gòu),一、主控文件表結(jié)構(gòu)文件記錄頭,二、NTFS文件屬性,在一個NTFS卷中文件所有的信息，包括文件數(shù)據(jù)在內(nèi)，都被認為是文件的屬性，而構(gòu)成該屬性的實際數(shù)據(jù)則被稱為“流”。不同的文件擁有的屬性不一樣，有的屬性也會在同一記錄項中多次出現(xiàn)，比如文件名屬性。每個屬性的頭4個字節(jié)表示屬性類型，接下來的4個字節(jié)表示本屬性大小，根據(jù)這個信息，我們可以遍歷文件的屬性列表。MFT中的各屬性的大小均以8字節(jié)為邊界。,二、NTFS文件屬性屬性圖示,10屬性頭,屬性內(nèi)容,30屬性頭,屬性內(nèi)容,30屬性頭,屬性內(nèi)容,二、NTFS文件屬性屬性列表,三、屬性頭結(jié)構(gòu),每個屬性又分為屬性頭和屬性內(nèi)容兩部分，屬性頭給出了該屬性的結(jié)構(gòu)信息。有的屬性內(nèi)容存儲在記錄項中（如文件名），稱為常駐屬性。有的屬性內(nèi)容很大，需要在MFT外另外開辟空間存儲（如文件數(shù)據(jù)），則稱為非常駐屬性。有的屬性在屬性頭之后列出了屬性名，而有的則沒有，一般存放特殊內(nèi)容的屬性都有屬性名。,三、屬性頭結(jié)構(gòu)常駐屬性,三、屬性頭結(jié)構(gòu)非常駐屬性,四、基本屬性介紹10H屬性,四、基本屬性介紹30H屬性,30H屬性用于存儲文件名，它總是常駐屬性，可容納255個Unicode字符的文件名長度。NTFS通過為一個文件創(chuàng)建多個文件名的方式實現(xiàn)了POSIX式的硬鏈接，每個文件名屬性都有它自己的詳細資料和父目錄。當一個硬鏈接文件被刪除時，就從MFT記錄中刪掉這個文件名，當最后一個硬鏈接也刪除時，文件就真正的刪除了。NTFS針對不同的操作系統(tǒng)提出了三種文件名命名空間，其字符集從小到大依次為：DOS、WIN32、POSIX。,四、基本屬性介紹30H屬性,五、字符編碼轉(zhuǎn)換,字符編碼就是把所有的字符按某個順序進行編號，用一個數(shù)字（代號）表示其編碼。由于不同的地區(qū)有自己的語言和符號，因此編碼方案也不同，我國采用國標（GB）編碼。為了讓不同地區(qū)的計算機能夠正常交換數(shù)據(jù)信息，國際上推出了一種Unicode編碼，它是全世界統(tǒng)一編碼，常用于網(wǎng)站、數(shù)據(jù)庫等信息的存儲與交換，其優(yōu)點是能提供最好的兼容性，但不適用于做系統(tǒng)機內(nèi)碼使用。,五、字符編碼轉(zhuǎn)換,Windows簡體中文版使用的內(nèi)碼是GB-18030，而存儲文件名的時候，為了滿足其適應性，采用了Unicode編碼。一個Unicode字符恒定占2個字節(jié)，西文字符保持了同ASCII碼的兼容性，而中文字符則完全不同。,五、字符編碼轉(zhuǎn)換,演示對NTFS分區(qū)中指定文件的屬性分析過程。準備好NTFS分區(qū)的演示環(huán)境，如虛擬機、Winhex等。搜尋指定的文件記錄項。分析主要屬性信息。,總結(jié),1.MFT及文件記錄項