如何编码实现NTFS格式下删除文件的恢复

最新推荐文章于 2022-01-12 14:42:38 发布

A00553344

最新推荐文章于 2022-01-12 14:42:38 发布

阅读量8.1k

点赞数

文章标签：磁盘 system 工具 file windows 数据库

本文链接：https://blog.csdn.net/a00553344/article/details/5031993

版权

主要内容

一、NTFS系统结构原理

二、编码实现NTFS磁盘删除文件扫描

三、编码实现NTFS磁盘删除文件恢复

工具截图

第一部分 NTFS系统结构原理

NTFS是Windows NT引入的新型文件系统，由于NTFS的结构复杂，内容繁多，这里仅对NTFS卷上的底层结构做分析。

1. 基本概念

在NTFS格式中，文件以簇的形式分配。最小的单位为扇区，N个扇区为一簇。其中，N的值由引导扇区规定。卷与簇的关系如下表。

2. 基本结构

NTFS格式磁盘的数据分为4大部分。

引导区

主文件列表

系统文件

文件数据区

l 引导区(Partition boot sector）：所有的磁盘格式都有这个区，占用了磁盘的第一个扇区。

l 主文件列表(Master File Table，MFT）：它记录了卷上所有的文件，每一个文件对应表中的一条记录。NTFS中目录也是以文件的形式存在的。因此，每一个目录也可以看作一个文件。

l 系统文件(System files)：NTFS系统一共有16个系统文件，和8个保留文件。

l 文件数据区(File area)：存放文件数据。

3. 引导区

4. 主文件列表(MFT)

l MFT是一个对应的数据库，由一系列的文件记录组成。卷中每一个文件都有一个文件记录（对于大型文件还可能有多个记录与之相对应）。主文件表本身也有它自己的文件记录。

l 实际上，MFT自身也是一个文件，因此，主文件列表的第一个记录就是它自身。MFT的每个记录都有一个编号，这里我们称它为ID号。这个ID从0开始。我们知道MFT自身是NTFS系统的第一个文件，所以文件$MFT的ID号为0。

l MFT和其他23个文件一起（共24个），组成所谓的“Metafiles”（元文件，也是之前提到的System files，系统文件）。这24个文件中，前16（ID为0-15）个文件是固定的，剩下的8个文件为保留文件。

l 用户的文件（也包括目录）的MFT中的ID号从24开始排。用户每添加一个文件ID号加1，当某文件被删除时，与之对应的MFT记录将被空出来，如果此时再次添加文件，系统会优先填充ID小的空位。

l 无论簇的大小，文件记录大小都是1K。理论上MFT在卷中的分配空间（占12％）。
逻辑上，MFT在卷中会占用一块连续的空间，但实际情况$MFT可能会被分散在磁盘的几个不同的区域。甚至，可能在元文件的部分就被拆分开。

5. 系统文件(System files)

序号（ID）	元文件	功能
0	$MFT	主文件列表本身
1	$MFTMirr	主文件表的部分镜像
2	$LogFile	日志文件
3	$Volume	卷文件
4	$AttrDef	属性定义列表
5	$Root	根目录
6	$Bitmap	位图文件,文件$Bitmap标识的是该卷中簇的占用情况。它用一位代表一簇。为0代表此簇空闲，为1代表此簇已使用
7	$Boot	引导文件
8	$BadClus	坏簇文件
9	$Secure	安全文件
10	$UpCase	大写文件
11-15	$Extend	扩展文件（一共5个文件）
16-23	保留

关注