分析NTFS文件系统内部结构

文章 原始出处 。 http://dengqi.blog.51cto.com/5685776/1351300

   上一篇文章《 FAT32文件系统详解》中作者介绍了FAT32文件系统存储数据的原理，接下来作者就介绍一下NTFS文件系统。NTFS、用过Windows系统的人都知道，它是一个很强大的文件系统，支持的功能很多，存储的原理也很复杂。目前绝大多数Windows用户都是使用NTFS文件系统，它主要以安全性和稳定性而闻名，下面是它的一些主要特点。

安全性高：NTFS支持基于文件或目录的ACL，并且支持加密文件系统（EFS）。

可恢复性：NTFS支持基于原子事务概念的文件恢复，比较符合服务器文件系统的要求。

文件压缩：NTFS支持基于文件或目录的文件压缩，可以很方便的节省磁盘空间。

磁盘配额：NTFS支持磁盘配额，可针对系统中每个用户分配磁盘资源。

分析NTFS文件系统的结构

   当用户将硬盘的一个分区格式化为NTFS分区时，就建立了一个NTFS文件系统。NTFS文件系统同FAT32文件系统一样，也是用“簇”为存储单位，一个文件总是占用一个或多个簇。

NTFS文件系统使用逻辑簇号（LCN）和虚拟簇号（VCN）对分区进行管理。

逻辑簇号：既对分区内的第一个簇到最后一个簇进行编号，NTFS使用逻辑簇号对簇进行定位。

虚拟簇号：既将文件所占用的簇从开头到尾进行编号的，虚拟簇号不要求在物理上是连续的。

NTFS文件系统一共由16个“元文件”构成，它们是在分区格式化时写入到硬盘的隐藏文件（以"$"开头），也是NTFS文件系统的系统信息。

如下表：是NTFS的16个元文件介绍

如下：是NTFS文件系统大致的结构图

分析NTFS文件系统的元文件

   在此，我们先复习一下前面的文章《MBR分区结构和GPT分区结构》，如果磁盘采用的是MBR分区结构的话，则硬盘的第一个扇区是MBR扇区，MBR扇区中有分区表，可以根据分区表得知分区的起始位置（也就是DBR的位置）。如果磁盘采用的是GPT的分区结构，那么磁盘的第一个扇区应该是MBR保留扇区，第二个扇区应该是GPT头，第三个扇区应该是分区表，从分区表中我就可以找到分区的起始位置（既DBR）。因此，作者后面的内容都是从分区起始位置（既DBR）开始的，而不是磁盘的0号扇区。

由于各元文件的内容太多，作者只分析工作中所用到的，如果读者感兴趣可以自行去阅读相关资料。

1、分析$Boot元文件

   $Boot元文件由分区的第一个扇区（既DBR）和后面的15个扇区（既NTLDR区域）组成，其中DBR由“跳转指令”、“OEM代号”、“BPB”、“引导程序”和“结束标志”组成，这里和FAT32文件系统的DBR一样。下图是一个NTFS文件系统完整的DBR。

下面我们分析一下DBR中的各参数

跳转指令：本身占2字节它将程序执行流程跳转到引导程序处。

OEM代号：这部分占8字节，其内容由创建该文件系统的OEM厂商具体安排。

BPB：NTFS文件系统的BPB从DBR的第12个字节开始，占用73字节，记录了有关该文件系统的重要信息，下表中的内容包含了“跳转指令”、“OEM代号”以及“BPB”的参数。

引导程序：DBR的引导程序占用426字节，其负责完成将系统文件NTLDR装入，对于没有安装系统的分区是无效的。

结束标志：DBR的结束标志与MBR，EBR的结束标志相同，为“55 AA”。

分析$MFT元文件

   在NTFS文件系统中，磁盘上的所有数据都是以文件的形式存储，其中包括元文件。每个文件都有一个或多个文件记录，每个文件记录占用两个扇区（既1字节），而$MFT元文件就是专门记录每个文件的文件记录。由于NTFS文件系统是通过$MFT来确定文件在磁盘上的位置以及文件的属性，所以$MFT是非常重要的，$MFT的起始位置在DBR中有描述。$MFT的文件记录在物理上是连续的，并且从0开始编号。$MFT的前16个文件记录总是元文件的，并且顺序是固定不变的，其顺序和表1相同（第一张图片）。

分析文件记录

1、文件记录的结构

文件记录由两部分构成，一部分是文件记录头，另一部分是属性列表，最后结尾是四个“FF”。如下是一个完整的文件记录：

分析文件记录头的结构

在同一系统中，文件记录头的长度和具体偏移位置的数据含义是不变的，而属性列表是可变的，其不同的属性有着不同的含义。后文将对属性进行具体分析，先来看看文件记录头的信息。如下表：是文件记录头的相关信息解释。

分析文件记录属性结构

   在NTFS文件系统中所有与文件相关的数据结构均被认为是属性，包括文件的内容。文件记录是一个与文件相对应的文件属性数据库，它记录了文件的所有属性。每个文件记录中都有多个属性，他们相对独立，有各自的类型和名称。每个属性都由两部分组成，既属性头和属性体。属性头的前四个字节为属性的类型。如下是以10H属性为例的属性结构。

另外属性还有常驻与非常驻之分。当一个文件很小时，其所有属性体都可以存放在文件记录中，该属性就称为常驻属性。如果某个文件很大，1KB的文件记录无法记录所有属性时，则文件系统会在$MFT元文件之外的区域(也称数据流)存放该文件的其他文件记录属性，这些存放在非$MFT元文件内的记录就称为非常驻属性。

分析属性的属性头

   每个属性都有一个属性头，这个属性头包含了一些该属性的重要信息，如属性类型，属性大小，名字(并非都有)及是否为常驻属性等。

如下是常驻属性的属性头分析表：

如下是非常驻属性的属性头分析：

前面说过了，属性的种类有很多，因此各属性体的含义也不同。下表是NTFS文件系统中的所有属性体的简介。

由于属性体的解释内容太多了，作者就不一一做解释了，只介绍几个工作时常用的属性，其他属性的介绍请查阅相关资料。

分析10H属性

   10H类型属性它包含文件的一些基本信息，如文件的传统属性，文件的创建时间和最后修改时间和日期，文件的硬链接数等等。如下：是一个10H类型的属性。

如下：是10H类型属性的解释。

上表中所描述的传统属性补充如下：

分析20H属性

   20H类型属性既属性列表，当一个文件需要好几个文件记录时，才会用到20H属性。20H属性记录了一个文件的下一个文件记录的位置。如下：是20H属性的解释。

分析30H属性

   30H类型属，该属性用于存储文件名 ，它总是常驻属性。最少68字节，最大578字节，可容纳最大Unicode字符的文件名长度。如下：是一个30H属性的实例。

如下：是30H属性的解释

分析80H属性

   80H属性是文件数据属性，该属性容纳着文件的内容，文件的大小一般指的就是未命名数据流的大小。该属性没有最大最小限制，最小情况是该属性为常驻属性。常驻属性就不做多的解释了，如下是一个非常驻的80H属性。

如下：是数据“Run List”部分的解释。

其中该属性的“Run List”值为“32 0C 1B 00 00 0C”，其具体含义如下：

分析90H属性

   90H属性是索引根属性，该属性是实现NTFS的B+树索引的根节点，它总是常驻属性。该属性的结构如下图：

索引根的解释如下表：

索引头的解释如下表：

索引项的解释如下表：

分析A0H属性

   A0属性是索引分配属性，也是一个索引的基本结构，存储着组成索引的B+树目录索引子节点的定位信息。它总是常驻属性。如下：是一个A0H属性的实例。

根据上图A0H属性的“Run List”可以找到索引区域，偏移到索引区域所在的簇，如下图：

标准索引头的解释如下;

索引项的解释如下：

至此属性分析已经介绍完毕了，下面我们来分析一下数据存储在NTFS文件系统中的具体位置。

1、定位DBR，通过DBR可以得知“$MFT”的起始簇号及簇的大小。

2、定位“$MFT”，找到“$MFT”后，在其中寻找根目录的文件记录，一般在5号文件记录。如下：

4、分析根目录中的文件记录属性，从上图中可以看出文件记录的属性一共有7个，我们可以根据前面分析过的属性进行对照可知道各属性的意思。由于是根目录，目录比较大，所以90H属性是没有内容的，重点在A0属性上。通过属性中的“Run List”定位到其数据流，如下图：是“Run List”的分析。

通过上图A0H属性中的分析，我们可以计算出有6个数据流，如下表：

5、分析NTFS的索引

   从上表中分许出6个数据流所对应的LCN号，现在只需要偏移到相应的簇就可以找到索引区域了。

如下图：

6、偏移到索引区域后发现，索引区域的索引项都有子节点，我们根据自己需要找的目标文件，找到相应的索引项并查找索引缓冲区的LCN和VCN对应关系，可得知子节点的起始簇号。如下图：

7、从索引项中可以获取“$MFT”的参考号，然后进入到“$MFT”找到对应的文件记录，如下图：

然后再根据80H属性中的数据流就可以找到文件真正的数据了。

由于NTFS实在是太复杂了，所以文章内容写的有限，并且有大量的截图，所以看起来很乱。就请大家多多包含，写这么多也不容易。

作者：邓奇

本文出自 “邓奇的Blog” 博客，请务必保留此出处http://dengqi.blog.51cto.com/5685776/1351300