数据恢复实战 NTFS文件系统结构 NTFS文件系统结构.ppt

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 NTFS文件系统结构总览 目录 01 NTFS文件系统结构介绍 02 NTFS文件系统结构特点 03 NTFS文件系统结构图 1.NTFS文件系统结构介绍 EDITED BY LIUJUN * 数据恢复实战 当用户将硬盘的一个分区格式化为NTFS分区时，就建立了一个NTFS文件系统结构 NTFS文件系统与FAT文件系统一样，也是用簇为基本单位对磁盘空间和文件存储进行管理的 一个文件总是占有若干个簇，即使在最后一个簇没有完全放满的情况下，也是占用了整个簇的空间，这也是造成磁盘空间浪费的主要原因 卷大小（MB） 每簇的扇区 默认的簇大小 ≤512 1 512字节 513~1024 2 1024个字节（1KB） 1025~2048 4 2048个字节（2KB） ≥2049 8 4个字节 NTFS文件系统结构介绍 数据恢复实战 * EDITED BY LIUJUN NTFS分区也被称为NTFS卷 卷上簇的大小，又被称为卷因子，其大小是用户在创建NTFS卷时确定的 和FAT文件系统一样，卷因子的大小和文件系统的性能有着非常直接的关系 当一个簇占用的空间太小时，会出现太多的磁盘碎片，这样在空间和文件访问的时间上会造成浪费 最大限度地优化系统对文件的访问速度和最大限度地减少磁盘空间的浪费是确定簇的大小的主要因素，簇的大小一定是扇区大小的整数倍，通常是2n次方 卷大小（MB） 每簇的扇区 默认的簇大小 ≤512 1 512字节 513~1024 2 1024个字节（1KB） 1025~2048 4 2048个字节（2KB） ≥2049 8 4个字节 2.NTFS文件系统结构特点 数据恢复实战 * EDITED BY LIUJUN NTFS文件系统使用了逻辑簇号（LCN）和虚拟簇号（VCN）对卷进行管理 LCN是对卷对第一个簇到最后一个簇进行编号 只要知道LCN号和簇的大小以及NTFS卷在磁盘中的起始扇区就可以对簇进行定位 而这些信息在NTFS卷的引导扇区（DBR）中可以找到，在系统底层也是用这种方法对文件的簇进行定位的 和FAT文件系统一样，NTFS的第一个扇区为引导扇区，即DBR扇区。其中NTFS分区的引导程序和一些BPB参数，系统根据这些BPB参数来得到分区的重要信息。如果没有这些信息，分区将不能正常使用 NTFS文件系统结构特点 数据恢复实战 * EDITED BY LIUJUN 在分区的第一个扇区（引导扇区DBR）后是15个扇区的NTLDR区域，这16个扇区共同构成$BOOT文件 在NTLDR后是主文件表区域 主文件表由文件记录构成，每个文件记录占2个扇区 在FAT文件系统中是通过FAT表和文件目录项存储文件数据和记录文件的文件名、扩展名等 而在NTFS文件系统中这些信息被称为属性，包括文件的内容在NTFS中也称为属性，各种属性被放入文件记录中进行管理 当一个属性太大，文件记录中存放不下时，就会分配多个文件记录进行存放 而当一个文件非常小时，可能这个文件的所有属性都包含在一个文件记录中了，甚至包括这个文件的数据，也会作为属性存放在其文件记录中 NTFS文件系统结构特点 EDITED BY LIUJUN * 数据恢复实战 NTFS文件系统的主文件表中还记录了一些非常重要的系统数据，这些数据被称为元数据文件，简称为“元文件” NTFS文件系统将这些数据都当做文件进行隐藏管理的，这些文件用户是不能访问的，它们的文件名的第一个字符都是“$”，表示该文件是隐藏的 在NTFS文件系统鸿，这样的文件主要有16个，包括MFT（$MFT）、MFT镜像（ $MFTMirr ）、日志文件（ $LogFile ） 、卷文件（ $Volume ） 。属性定义表（ $AttrDef ） 、根目录（ $ROOT ） 、位图文件（$Bitmap） 、引导文件（$Boot） 、坏簇文件（$BadClus） 、安全文件（$ $Secure ） 、大写文件（ $UpCase ） 、扩展元数据文件（ $Extend metadata directory ） 、重解析点文件（ $Extend\$Reparse ） 、变更日志文件（$Extend\$Reparse） 、配额管理文件（$Extend\$Quota） 、对象ID文件（$Extend\$ObjId）等 每个文件记录在主文件表中占据的磁盘空间一般为1KB，也就是两个扇区 3. NTFS文件系统结构的图 数据恢复实战 * EDITED BY LIUJUN NTFS文件系统的结构大致可以用该图来进行说明