NTFS学习笔记（1）：DBR

与MBR在FAT文件系统中的作用相同，DBR在NTFS文件系统中也起着定义分区参数和引导系统的作用，本篇将介绍DBR中几个重要的参数，下图是我电脑上虚拟分区的DBR：

 

1、0X03-0X0A，OEM标志，但是在Windows系统中一般都为0X4E544653，ASCII码显示的话就是NTFS。

2、0X0B-0X0C，定义了分区中每个扇区的字节数，图示为0X0002，由于采用的是little endian，所以实际上是0x0200，转换为十进制就是512，所以图示NTFS分区的每扇区字节数就是512字节。

3、0X0D，定义了分区中每个簇的扇区数，图示为0X04，转换为十进制为4，所以图示NTFS分区的每个簇包含4个扇区，结合之前的每扇区字节数，我们就可以计算出每个簇的字节数为512*4=2048。

4、0X38-0X3F，定义了分区的扇区数，图示为0X0F87FF，换算为十进制为1017855，得出图示分区中有1017855个扇区。

5、0X30-0X37，定义了$MFT的起始簇号，图示为0X014B55，换算为十进制为84821，所以跳转到84821簇的话，我们就能找的$MFT。

6、0X40，定义了$MFT中每条文件记录的大小，图示为0XF6，注意这是一个有符号数，我们需要二进制取反之后再+1，将图示0XF6转换为二进制为11110110，取反为0000 1001，再加1即为0000 1010，转换为十进制就是10，因为是有符号数实际为-10，这里文件记录的大小实际是2(-1)*(-10)=210=1024，所以图示分区$MFT中每条文件记录的大小就是1024字节。

7、0X1FE-0X1FF，和MBR一样，定义的是DBR的结束标志，显示为0X55AA。

其实用WinHex的模板管理器，选择BootSector NTFS就能直接看到我们需要了解的内容，如下图。