《ntfs文件系统总结》word版

《《ntfs文件系统总结》word版》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、ntfs文件系统总结ntfs文件系统(总结)2010-07-2014：30解读NTFSNTFS是一个比FAT复杂的多的文件系统，我们一起努力来把它完整的解读出来NTFS的引导扇区也是完成引导和定义分区参数，和FAT分区不同，FAT分区的BOOT记录正常，就显示分区没有错误，即使文件不正确，而NTFS分区的BOOT不是分区的充分条件，它要求必须MFT中的系统记录如$MFT等正常该分区才能正常访问。其BPB参数如下表所示。字节偏移长度常用值意义0x0B字0x0002每扇区字节数0x0D字节0x08每簇扇区数0x0E字0x0000

2、保留扇区0x103字节0x000000总为00x13字0x0000NTFS未使用，为00x15字节0xF8介质描述0x16字0x0000总为00x18字0x3F00每磁盘扇区数0x1A字0xFF00磁头数0x1C双字0x3F000000隐含扇区0x20双字0x00000000NTFS未使用，为00x288字节0x4AF57F0000000000扇区总数0x308字节0x0400000000000000$MFT的逻辑簇号0x388字节0x54FF070000000000$MFTMirr的逻辑簇号0x40双字0xF6000000

3、每MFT记录簇数0x44双字0x01000000每索引簇数0x488字节0x14A51B74C91B741C卷标0x50双字0x00000000检验和MFT中的文件记录大小一般是固定的，不管簇的大小是多少，均为1KB。文件记录在MFT文件记录数组中物理上是连续的，且从0开始编号，所以，NTFS是预定义文件系统。MFT仅供系统本身组织、架构文件系统使用，这在NTFS中称为元数据(metadata，是存储在卷上支持文件系统格式管理的数据。它不能被应用程序访问，只能为系统提供服务)。其中最基本的前16个记录是操作系统使用的非常重要

4、的元数据文件。这些元数据文件的名字都以"$"开始，所以是隐藏文件，在Windows2000/XP中不能使用dir命令(甚至加上/ah参数)像普通文件一样列出。在WINHEX中带有NFI.EXE，用此工具可以显示这些记录与文件的对应关系，下一次再详细解释。这些元数据文件是系统驱动程序管理卷所必需的，Windows2000/XP给每个分区赋予一个盘符并不表示该分区包含有Windows2000/XP可以识别的文件系统格式。如果主文件表损坏，那么该分区在Windows2000/XP下是无法读取的。为了使该分区能够在Windows20

5、00/XP下能被识别，就必须首先建立Windows2000/XP可以识别的文件系统格式即主文件表，这个过程可通过高级格式化该分区来完成。Windows以簇号来定位文件在磁盘上的存储位置，在FAT格式的文件系统中，有关簇号的指针包含在FAT表中，在NTFS中，有关簇号的指针则包含在$MFT及$MFTMirr文件中。NTFS使用逻辑簇号(LogicalClusterNumber，LCN)和虚拟簇号(VirtualClusterNumber，VCN)来对簇进行定位。LCN是对整个卷中所有的簇从头到尾所进行的简单编号。用卷因子乘以L

6、CN，NTFS就能够得到卷上的物理字节偏移量，从而得到物理磁盘地址。VCN则是对属于特定文件的簇从头到尾进行编号，以便于引用文件中的数据。VCN可以映射成LCN，而不必要求在物理上连续。在NTFS卷上，跟随在BPB后的数据字段形成一个扩展BPB。这些字段中的数据使得Ntldr能够在启动过程中找到主文件表MFT(MasterFileTabl)。在NTFS卷上，MFT并不象在FAT16卷和FAT32卷上一样，被放在一个预定义的扇区中。由于这个原因，如果在MTF的正常位置中有坏扇区的话，就可以把MFT移到别的位置。但是，如果该数据

7、被破坏，就找不到MFT的位置，Windows2000假设该卷没有被格式化。因此，如果一个ntfs的卷提示未格式化，可能并未破坏MFT,依据BPB的各字段的意思是可以重建BPB的。NTFS的缺省簇的大小卷大小每簇的扇区缺省的簇大小小于等于512MB1512字节513MB~1024MB(1GB)21024字节(1KB)1025MB~2048MB(2GB)42048字节(2KB)大于等于2049MB84KB从上面可以看出，也就是说不管驱动器多大NTFS簇的大小不会超过4KBNTFS文档：文档属性定义每个文档属性都由以下部分组成：一

8、个由该属性的实际值组成的被称为"流"的重要的字节序列，元数据可访问该流。文件中的每个文件属性都可能会有一个名字：在这种情况下，在命令行方式下可以通过语法"文件名：属性名"来访问该流(这也是文件名中不能使用"："的原因)。WindowsNT使用以下在元数据文件$AttrDef中预定义的文件属