項目四：文件系統數據恢復任務3

NTFS文件系統結構子任務4.3.1

NTFS分區結構分析主講人

高靈霞、廖艷CONTENT目錄課前學情探究NTFS文件系統結構0102總結與拓展教學內容04工單-NTFS文件系統結構分析03教學目標>項目四

文件系統數據恢復任務3

NTFS文件系統結構分析子任務4.3.1NTFS分區結構分析素質目標知識目標能力目標1.通過子目錄特殊目錄項的原理分析，培養學生良好的職業道德教育2.通過FAT32格式化分區數據恢復，培養學生能立足專業，使學生遵守數據恢復工程師職業操守和注意事項1.理解NTFS分區結構，簇和卷的概念2.引導扇區結構和引導扇區修復方法3.元文件的概念及重要元文件的介紹1.學生能分析NTFS引導扇區，找出分區總數和$MFT所在的位置2.學生能使用備份扇區修復引導扇區3.能掌握NTFS分區結構，熟悉$MTF、$Boot、$Root元文件編號及存放內容思政點：自立（立足專業，奮發有為）【育人案例】

1993年,NTFS文件系統最早出現WindowsNT操作系統中，它的出現大幅度地提高了微軟原來的FAT文件系統的性能。教學重點與難點

教學重點1.NTFS分區結構、DBR扇區結構2.$MTF、$Boot、$Root元文件編號及存放內容>

教學難點NTFS引導扇區BPB參數課前學情01學情分析信安2004班---項目四

技能考核FAT32文件系統數據恢復FAT32分區文件刪除特征

？

FAT32分區格式化文件恢復方法？

課堂活動提醒：文件目錄項特征？FAT表結構特征？提醒：子目錄文件的恢復方法？根目錄文件恢復方法？任務引導工程師小王在對FAT分區做了分析之后，對NTFS分區也產生了興趣，NTFS分區的引導扇區是怎樣的呢？是不是也存在文件目錄表和文件分配表呢？于是打開了一個NTFS分區，進行學習分析。NTFS文件系統結構、DBR扇區結構、MFT指的是？探究NTFS文件系統結構02一、NTFS分區特點NTFS分區也存在引導扇區，也使用簇管理空間，但它和FAT32分區有很大區別，第一，它加入了許多文件管理功能；第二，它將所有的管理控制區域組織成文件形式進行管理；另外，在存儲結構上，它采用索引結構，真個分區結構要復雜些。微軟公司自推出WindowsNT服務器操作系統以來，就開發了一種與之對應的，可靠性和安全性都很強的，可用于服務器操作系統的文件系統，即NTFS。它與FAT文件系統相比有許多優點：可恢復性、安全性、保密性、數據容錯、文件壓縮、磁盤配額管理等。它解決了FAT文件系統中的許多限制（如不支持長文件名和超過4GB的文件容量）一、NTFS分區特點在NTFS分區中，引入了卷概念。卷可以看成是分區的升級版，是為了解決某些分區限制而提出的概念，卷的操作和使用和分區是一樣的。卷分為簡單卷和動態卷兩種，簡單卷就是一個普通分區，而動態卷則可以實現一些高級功能，比如可以將多個分區或者磁盤組織成一個卷，能夠動態增長容量等，使其可以支持服務器存儲所需的海量存儲空間。二、NTFS文件系統結構二、NTFS分區結構NTFS仍然使用簇來分配文件存儲，簇又叫卷因子，在分區中通常每個簇包含8個扇區，從0開始編號，這個簇號叫做邏輯簇號（LCN）。在存儲文件的時候，NTFS采用了索引存儲方式：即把文件按照邏輯簇大小劃分為多個區塊，稱為虛擬簇（VCN），在主控文件表中有一張索引表，記錄了VCN和LCN的對應關系，因此可以快速地訪問文件任意一個部分的內容，而且簇到扇區的轉換也非常簡單。VCN123456LCN101102106107108221二、NTFS分區結構NTFS分區不再設管理控制區域，分區的0扇區便是0簇，全部空間都是數據區域。分區中承擔管理控制信息的數據塊被組織成文件，靈活地存放在任意一個位置。只有BOOT區域比較特殊，由于0扇區仍是引導扇區，因此BOOT區域始終位于分區前端。三、主控文件表與元文件在NTFS分區中，最重要的就是主控文件表（MFT），它記載了所有文件的屬性信息，甚至包括數據，有點類似于FAT分區的文件目錄表。為了防止遭到破壞，NTFS分區將MFT的位置移到了分區的中間，并在引導扇區中給出了它的簇號。我們在恢復數據的時候，就是依靠MFT來完成的。三、主控文件表與元文件在NTFS中承擔管理控制信息的數據稱為元數據，用于記載文件屬性信息、簇分配信息、以及加密、配額、日志等。這些元數據分別被組織成文件，稱為元文件。前面所提到的BOOT區域和MFT區域，也分別被組織為兩個重要的元文件：$Boot和$MFT。NTFS中有16個元文件，每個元文件都以美元符號起頭，以標示其特殊身份。這些元文件記錄了分區底層的結構信息，因此非常特殊而重要，被系統保護起來，用戶和應用程序不能訪問它們。三、主控文件表與元文件編號元數據文件功能或內容0$MFT主控文件表本身1$MFTMirr主控文件表的部分備份（通常為前4項）2$LogFile日志文件，實現了NTFS的可恢復性和安全性3$Volume卷文件，標識卷名，是否格式化，是否需要修復等信息4$AttrDef屬性定義列表文件5$Root根目錄，存放目錄和文件的索引，表示文件的邏輯層次關系6$Bitmap位圖元文件，記錄了卷中簇的分配情況7$Boot引導元文件，恒為0簇起始8$BadClus壞簇列表元文件9$Secure安全元文件，存儲訪問控制表（在NTFS4及以前為磁盤配額信息）10$UpCase大小寫字符轉換表元文件11$ExtMD擴展元數據目錄（Extendedmetadatadirectory）12~15$Extended\擴展元數據，分別為重解析點、加密日志、配額管理、對象ID16~23為以后擴展而保留24~?用戶文件和目錄的記錄編號重點完成任務一四、引導扇區結構NTFS分區的0扇區是引導扇區，也叫DBR扇區，它和后面的15個扇區（NTLDR區域）合起來構成BOOT區域，也就是$Boot元文件。$Boot元文件恒定從0簇起始，占16個扇區。NTFS分區的引導扇區同FAT分區的引導扇區在結構上非常相似，同樣包含BPB，DBR和結束標志三個部分，只是在BPB參數上有部分不同。由于所有的結構信息都以元文件方式組織，因此在BPB中只包含幾個重要的參數。全寫NTLoader是系統加載程序，主要職責是解析Boot.ini文件，用來裝載操作系統。四、引導扇區結構NTFS的BPBNTFS的DBR結尾標志偏移長度描述00H3B跳轉指令（EBH52H90H），跳至54H處DBR部分03H8B文件系統和版本的OEM標志（NTFS）0BH2B每扇區字節數（通常為200H）0DH1B每簇扇區數（值為2的N次方，通常為8）15H1B介質描述，恒為F818H2B每磁道扇區數（通常為3FH，63）1AH2B磁頭數（通常為FFH，255）1CH4B隱含扇區數（本分區前的扇區總數，也就是本分區的起始邏輯扇區號）24H4BNTFS未使用，總為80H00H80H00H28H8B扇區總數------比分區表描述的少1個扇區，為了保護備份的引導扇區30H8B$MFT的起始邏輯簇號38H8B$MFTMirr的起始邏輯簇號40H4B每MFT記錄簇數44H4B每索引簇數48H8B分區的邏輯序列號，格式化的時候隨機產生50H4B校驗和四、引導扇區結構完成任務二四、引導扇區結構演示對NTFS分區引導扇區的BPB的分析過程。準備好NTFS分區的演示環境，如虛擬機、Winhex等。分析引導扇區BPB參數。指出重要的參數信息如$MFT簇號。工單-NTFS文件系統結構分析03任務實施

工單任務

項目四

任務4.3.1NTFS分區結構分析自足專業奮發有為一、修復引導扇區NTFS的引導扇區如果遭到破壞，如何恢復？

修復NTFS引導扇區首先可以用備份引導扇區，NTFS為了防止連同破壞，將備份引導扇區放到了分區的末尾處，這樣足以抵御一般的破壞攻擊。但如果分區被誤格式化為其他文件系統比如FAT，則備份引導扇區有可能被清除掉，那時就需要利用其他的方式來恢復了。一、修復引導扇區演示使用備份的引導扇區實現對NTFS分區的引導扇區的恢復。在NTFS分區中定位某個NTFS分區的備份引導扇區。修復引導扇區。檢查修復工作是否正常。總結與拓展04總結1.NTFS整個分區都是數據區，元文件的概念？2.NTFS分區兩個重要的文件是$B