分析NTFS系统,得到特定文件内容

最新推荐文章于 2022-12-04 23:23:11 发布
最新推荐文章于 2022-12-04 23:23:11 发布
阅读量2k 收藏 7
点赞数
分类专栏： Windows操作系统基础 文章标签： NTFS文件系统
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/enjoy5512/article/details/50938929
版权
本文详述了如何在NTFS文件系统中手动查找特定文件的过程，通过WinHex分析硬盘结构，理解MBR、EBR、MFT等概念，并最终定位到文件的扇区位置，从而获取文件内容。
摘要由CSDN通过智能技术生成

因为软件安全实验课的关系,特做此实验,巩固上节学的知识

首先从C盘分出了10G的空间(虚拟机之前只有一个分区),然后创建E:\dir\enjoy\test.txt
test.txt里面的内容是1234567890
这里写图片描述

打开WinHex
这里写图片描述

从图中可以看到启动扇区从0扇区开始.共计63个扇区,属于隐藏扇区

这里写图片描述这里写图片描述

第一个分区从63扇区开始,总共62914496个扇区,每个扇区512字节,每个簇4096个字节,共计7864312个簇,$MFT所在簇号为786432,(柱面391;磁头160,扇区25)

这里写图片描述
这里写图片描述

第二个扇区起始扇区号为62914560,总计扇区20971520,每个扇区大小为512字节,每个簇4096个字节,总共2621439簇,MFT所在扇区为786432(柱面:4307,磁头:223,扇区:13)
注:第二和第二分区之间还有一个扇区,我不知道是干嘛的
最后从83875365扇区开始,是剩余扇区,共计10715个扇区

最低0.47元/天 解锁文章
enjoy5512
关注
专栏目录
NTFS文件系统解析
bcbobo21cn的专栏
12-25 1074
NTFS文件系统解析；
分析NTFS文件系统得到特定文件的内容
weixin_34378969的博客
03-24 180
找某一个文件的内容（如要读取文件D:\dir\dir2\text.txt，详细过程例如以下： （1）读取分区表/分区链表信息，找到磁盘F的起始扇区。 （2）读取D盘的第一个扇区（分区的BOOTSETOR）取得分区的每簇大小，MFT表起始簇号等信息。 （3）读取MFT表的第五个记录（根文件夹）找到文件夹索引所在簇号。 （4）读取根文件夹索引，查找dir文件夹所在的MFT记录号 （5...
分析NTFS系统，得到特定文件内容
缘木之鱼
10-11 1246
分析NTFS系统，得到特定文件内容
NTFS文件解析系统的简单分析
10-28
NTFS文件解析系统的简单分析NTFS文件解析系统的简单分析
MFTECmd:从NTFS文件系统解析$ MFT
05-04
通过解析MFT，即使在文件被物理删除后，也能找回部分文件内容和元数据信息，这对于犯罪调查和数据恢复至关重要。 **数据恢复** 对于数据恢复专家来说，MFTECmd是宝贵的工具。它可以深入到NTFS文件系统的底层，尝试...
ntfs系统文件查找恢复工具
11-01
个人使用Delphi开发的ntfs系统文件查找恢复工具，查找速度远快于windows自带搜索功能，恢复文件也是非常的简单。由于软件进行了压缩，某些安全软件可能会有提示，请勿担心。欢迎使用并提宝贵意见！
NTFS硬盘必备的超快文件名搜索软件Everything
03-28
Everything是速度最快的文件名搜索软件。其速度之快令人震惊，百G硬盘几十万个文件，可以在几秒钟之内完成索引；文件名搜索瞬间呈现结果。它小巧免费，支持中文，支持正则表达式，可以通过HTTP或FTP分享搜索结果。如果不满意Windows自带的搜索工具、Total Commander的搜索、Google 桌面搜索或百度硬盘搜索，如果正在使用或放弃了Locate32，都值得推荐这款体积小巧、免安装、免费、速度极快（比Locate32更快）的文件搜索工具Everything！
NTFS文件系统下用C++定位文件簇号和目录项
03-26
给定一个文件，输出该文件的目录项和文件所占的所有簇号，目前调试通过卷标为F:的U盘下任意文件的搜索，可能存在一些问题，仅供参考。 代码参考：https://www.debugrun.com/a/zAfLt9k.html
NTFS中手工定位目录和文件
02-27
NTFS中手工定位目录和文件并提取，实例恢复。。。
NTFS文件解析系统的简单分析,手工定位文件
08-22
在学习前人的基础上 加上自己的实习笔记 图文并茂...呵呵
精选_编程实现根据NTFS文件系统定位文件在磁盘上的偏移地址_源码打包
03-09
在IT领域，尤其是在系统编程和文件系统开发中，理解如何根据NTFS（New Technology File System）文件系统定位文件在磁盘上的偏移地址是一项至关重要的技能。NTFS是Windows操作系统中广泛使用的高级文件系统，它提供...
NTFS文件系统下文件提取
最新发布
weixin_60418242的博客
12-04 2182
一、寻找根目录 11.1、找到MFT主文件记录表 1（1）首先找到NTFS文件系统的DBR： 1（2）此时我们来到了MFT主文件表所在区域： 31.2、找根目录 3二、提取数据（重点） 52.1、提取单个根目录下的文件 52.1.1、小文件提取 5（1）首先我们看看我有什么文件在这个磁盘中： 5（2）从根目录获取所需文件所在扇区 6（3）找到文件所在扇区并提取 62.1.2、大文件提取 82.2、提取文件夹下的文件 10 学会了NTFS文件系统的结构以及知道如何从DBR获取关键字节信息之后我们
[源码和文档分享]编程实现根据NTFS文件系统定位文件在磁盘上的偏移地址
qq_38474647的博客
12-30 149
背景 之前在上一篇博文中 “NTFS文件系统介绍及文件定位” 介绍过 NTFS 的基础概念和常用格式介绍，同时还详细给出了使用 NTFS 定位磁盘文件的例子。现在，这篇文章讲解的就是，编程实现 NTFS 文件定位。也就是把之前手动定位全部改成编程实现，输入一个文件路径，就可以得到文件的大小和数据在磁盘上的偏移地址。 现在，就把实现的过程整理成文...
NTFS Data Runs
weixin_33851177的博客
11-12 361
template "NTFS Data Runs" //template by Jens Kirschner//X-Ways Software Technology AG description "To be applied to beginning of data runs"applies_to disk begin {uint_flex "3,2,1,0" "C...
NTFS技术详解：现状、特点与数据恢复研究
本文档深入研究了NTFS（New Technology File System）文件系统的技术细节，涵盖了NTFS的现状、特点、相关概念理论以及实际应用中的文件操作、数据恢复和高级开发技术。作者Beiyu在2007年4月26日撰写了这篇详尽的分析...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值