数据恢复实战 常驻属性和非常驻属性 NTFS的30H属性.ppt

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 NTFS 30H属性 目录 01 30H属性的结构 02 30H属性的文件标志含义 03 30H属性文件名命名空间 1.30H属性的结构 EDITED BY LIUJUN * 数据恢复实战 30H属性，即$FILE_NAME属性 该属性用于存储文件名，它总是常驻属性 它最少有68字节，最大578字节，可容纳最大255个Unicode字符的文件名长度 30H属性的结构 EDITED BY LIUJUN * 数据恢复实战 标准属性头 30H属性头结束后，就是属性体开始 30H属性的结构 EDITED BY LIUJUN * 数据恢复实战 对于30H属性里的文件创建时间、文件修改时间、MFT修改时间、文件最后访问时间、文件分配大小、文件实际大小等，我们都可以使用WinHex内的模版进行查看 30H属性的结构 EDITED BY LIUJUN * 数据恢复实战 父目录的文件参考号即父目录的基本文件记录号，分为两个部分，前6个字节48位位父目录的文件记录号，后2个字节为序列号 30H属性的结构 EDITED BY LIUJUN * 数据恢复实战 NTFS通过为一个文件创建多个文件名属性的方式实现了可移植操作系统接口式的硬连接 每个文件名属性都有它自己的详细资料和父目录参考号 当一个硬接文件删除时，就从文件记录中删除掉这个文件名，当最后一个连接也被删除时，文件就真正的删除了 2.30H属性的文件标志含义 EDITED BY LIUJUN * 数据恢复实战 30H属性体中偏移38H的标志，其含义为 若标志为0x0001 含义为只读 若标志为0x0002 含义为隐含 若标志为0x0004 含义为系统 若标志为0x0020 含义为存档 若标志为0x0040 含义为设备 若标志为0x0080 含义为常规 若标志为0x0100 含义为临时 若标志为0x0200 含义为稀疏文件 若标志为0x0400 含义为重解析点 若标志为0x0800 含义为压缩 若标志为0x1000 含义为脱机 若标志为0x2000 含义为未编入索引 若标志为0x4000 含义为加密 若标志为0含义为目录 若标志为0x200000000 含义为索引视图 2.30H属性的文件标志含义 EDITED BY LIUJUN * 数据恢复实战 若标志为0x0002 含义为隐含 若标志为0x0020 含义为存档 若标志为0x0080 含义为常规 若标志为0x0200 含义为稀疏文件 若标志为0x0800 含义为压缩 若标志为0x2000 含义为未编入索引 若标志为0含义为目录 30H属性的文件标志含义 EDITED BY LIUJUN * 数据恢复实战 3.30H属性文件名命名空间 数据恢复实战 EDITED BY LIUJUN * 在DOS年代，旧的FAT文件系统在文件名上有很多约束 比如文件名长度必须上文件名不超过8个字符 扩展名不超过3个字符，而且许多字符在文件名中是不允许的，比如不能用空格等 FAT32则允许了较多的字符作为文件名和较长的文件名，而NTFS几乎没有限制 3.30H属性文件名命名空间 数据恢复实战 EDITED BY LIUJUN * 在文件名中都有一个标志指出这个文件的文件名属于哪一种名字空间 为了兼容旧的文件系统，NTFS系统给文件名分配了一个短的DOS兼容文件名给每个具有非DOS兼容文件名的文件 可能的文件命名空间有，该字节的值为“00”：POSIX，可移植操作系统接口 POSIX是最大的文件命名空间它除了空字符和向前的斜线“/”以外所有的Unicode字符集 最大的文件名长度为255，但是有一些特例 例如冒号“：”，在NTFS文件系统中是有效的，但是在Windows操作系统是不允许的 总结 1.30H属性有属性头吗？ 2.30H属性主要存储什么？ 3. POSIX是最大的文件命名空间吗？ 数据恢复实战 * EDITED BY LIUJUN 谢 谢 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院