NTFS Change Journal

最新推荐文章于 2023-06-13 14:33:53 发布

lionzl

最新推荐文章于 2023-06-13 14:33:53 发布

阅读量1.2k

点赞数

分类专栏： DLP 计算机安全

计算机安全同时被 2 个专栏收录

260 篇文章 8 订阅

订阅专栏

DLP

228 篇文章 2 订阅

订阅专栏

NTFS Change Journal

NTFS卷上的变化日志，每个卷上都有自己的变化日志。

文件被隐藏

初始化的时候为空，文件或目录发生改变，写到日志的末尾

每条记录是一个USN(Update Sequence Number),64位的标示

USNs按增长顺序生成

每页大概包含30-40个记录，记录不可以跨页，所以页尾可能浪费一些

NTFS卷上文件，目录信息存储在MFT(Master File Table)上，
MFT上的记录描述了文件的名称，位置，大小，属性。。。

每个文件的MFT条目记录了这个文件的最新USN
文件系统更新变化文件的MFT的最新USN

日志文件增长过大,文件系统允许在文件的开始处,清除旧的记录
传统的方法,清除前面的要很多IO操作,后面的还要移到新的位置
但是日志十个稀疏文件,支持清除不需要的部分,保留部分的偏移量仍然可用

某卷的变化日志可以被禁用,防止系统为文件和目录写日志,默认情况下是关闭的,
应用程序需要激活它

任何应用程序都可以在任何时候,禁用,启用日志,所以当有程序使用的情况,要温柔的处理

当日志被禁用的时候,系统要清除日志的记录内容,防止程序读不可靠的信息,
日志仅保留持续活动期间的记录

目前的实现是,禁用时候删除变化日志,启用的时候创建一个新的日志,
虽然应用程序不关心删除和创建操作,但是平台编成却要使用
***************************************************************************
***************************************************************************
访问Change Journal要通过DeviceIoControl
BOOL DeviceIoControl(
(HANDLE) hDevice,            // 文件，目录，设备，用CreateFile取得句柄
FSCTL_READ_USN_JOURNAL,      // 请求
(LPVOID)lpInBuffer,          // input buffer
(DWORD)nInBufferSize,        // size of input buffer
(LPVOID)lpOutBuffer,         // output buffer
(DWORD)nOutBufferSize,       // size of output buffer
(LPDWORD) lpBytesReturned,   // number of bytes returned
(LPOVERLAPPED) lpOverlapped // OVERLAPPED structure
);

HANDLE hcj = CreateFile(".//C:", GENERIC_READ, FILE_SHARE_READ | FILE_SHARE_WRITE,
NULL, OPEN_EXISTING, 0, NULL);

***************************************************************************
***************************************************************************
typedef struct {
    DWORD RecordLength; // 记录长度
    WORD   MajorVersion; // 主办本
    WORD   MinorVersion; // 次版本
    DWORDLONG FileReferenceNumber;   // 文件引用数
    DWORDLONG ParentFileReferenceNumber; // 父目录引用数
    USN Usn;     // USN
    LARGE_INTEGER TimeStamp;    // 时间戳
    DWORD Reason;   // 原因
    DWORD SourceInfo; // 源信息
    DWORD SecurityId; // 安全ID
    DWORD FileAttributes; // 文件属性
    WORD FileNameLength; // 文件长度
    WORD FileNameOffset; // penultimate of original version 2.0
    DWORD ExtraInfo1;      // Hypothetically added in version 2.1
    DWORD ExtraInfo2;      // Hypothetically added in version 2.2
    DWORD ExtraInfo3;      // Hypothetically added in version 2.3
    WCHAR FileName[1];     // variable length always at the end
} USN_RECORD, *PUSN_RECORD;
应用程序不去填写这些信息，当程序读Change Journal时由系统返回。
PUSN_RECORD pNext;
pNext = (PUSN_RECORD) (((PBYTE) pRecord) + pRecord->RecordLength);

在网上突然发现了Everything这个程序对NTFS磁盘文件可以快速的进行搜索，而且搜素的速度之快，让你惊讶这个东西怎么工作的？具介绍说是采用了NTFS的 Change Journal这个特性进行开发的。总算对这个 USN的说法有了个了解，但是这个特性如何对他的检索怎么应用的还没有想清楚。不过看它的搜索速度真是让人惊奇！ NTFS Change Journal NTFS卷上的变化日志，每个卷上都有自己的变化日志。文件被隐藏初始化的时候为空，文件或目录发生改变，写到日志的末尾每条记录是一个USN(Update Sequence Number),64位的标示 USNs按增长顺序生成每页大概包含30-40个记录，记录不可以跨页，所以页尾可能浪费一些 NTFS卷上文件，目录信息存储在MFT(Master File Table)上， MFT上的记录描述了文件的名称，位置，大小，属性。。。每个文件的MFT条目记录了这个文件的最新USN 文件系统更新变化文件的MFT的最新USN 日志文件增长过大,文件系统允许在文件的开始处,清除旧的记录传统的方法,清除前面的要很多IO操作,后面的还要移到新的位置但是日志十个稀疏文件,支持清除不需要的部分,保留部分的偏移量仍然可用某卷的变化日志可以被禁用,防止系统为文件和目录写日志,默认情况下是关闭的, 应用程序需要激活它任何应用程序都可以在任何时候,禁用,启用日志,所以当有程序使用的情况,要温柔的处理当日志被禁用的时候,系统要清除日志的记录内容,防止程序读不可靠的信息, 日志仅保留持续活动期间的记录目前的实现是,禁用时候删除变化日志,启用的时候创建一个新的日志, 虽然应用程序不关心删除和创建操作,但是平台编成却要使用 *************************************************************************** *************************************************************************** 访问Change Journal要通过DeviceIoControl BOOL DeviceIoControl( (HANDLE) hDevice, // 文件，目录，设备，用CreateFile取得句柄 FSCTL_READ_USN_JOURNAL, // 请求 (LPVOID)lpInBuffer, // input buffer (DWORD)nInBufferSize, // size of input buffer (LPVOID)lpOutBuffer, // output buffer (DWORD)nOutBufferSize, // size of output buffer (LPDWORD) lpBytesReturned, // number of bytes returned (LPOVERLAPPED) lpOverlapped // OVERLAPPED structure ); HANDLE hcj = CreateFile("\\\\.\\C:", GENERIC_READ, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, 0, NULL); *************************************************************************** *************************************************************************** typedef struct { DWORD RecordLength; // 记录长度 WORD MajorVersion; // 主办本 WORD MinorVersion; // 次版本 DWORDLONG FileReferenceNumber; // 文件引用数 DWORDLONG ParentFileReferenceNumber; // 父目录引用数 USN Usn; // USN LARGE_INTEGER TimeStamp; // 时间戳 DWORD Reason; // 原因 DWORD SourceInfo; // 源信息 DWORD SecurityId; // 安全ID DWORD FileAttributes; // 文件属性 WORD FileNameLength; // 文件长度 WORD FileNameOffset; // penultimate of original version 2.0 DWORD ExtraInfo1; // Hypothetically added in version 2.1 DWORD ExtraInfo2; // Hypothetically added in version 2.2 DWORD ExtraInfo3; // Hypothetically added in version 2.3 WCHAR FileName[1]; // variable length always at the end } USN_RECORD, *PUSN_RECORD; 应用程序不去填写这些信息，当程序读Change Journal时由系统返回。 PUSN_RECORD pNext; pNext = (PUSN_RECORD) (((PBYTE) pRecord) + pRecord->RecordLength);

取得NTFS磁盘上的MTF信息

[cpp]view plaincopy 
   
 2010-10-28 06:33752人阅读评论(1)收藏举报  
   
   
   
   
 [cpp] view plaincopyprint?  
#include "ntfs.h"    
#include <iostream>    
#include <fstream>    
#include <map>    
#include <vector>    
using namespace std;    
//管理员权限运行    
typedef struct {    
    ULONGLONG index;    
    ULONGLONG parent;    
    WCHAR name[1024];    
    int type; //0 file 1 dir    
} FILE_INFO, *PFILE_INFO;     
    
//枚举盘符    
void OpenNtfsVolume()    
{    
    WCHAR tDrivers[26*4+1] = {};    
    GetLogicalDriveStrings(26*4+1,tDrivers);    
    WCHAR fileSysBuf[8];    
    DWORD dwDri; //0~25    
    
    WCHAR szRootName[40];    
    WCHAR szVolumeName[32];    
    int iFilterRoot=0;    
    for(WCHAR *p=tDrivers;*p!='\0';p+=4)    
    {           
        if(*p>=L'a') *p-=32;//    
        dwDri=*p-L'A';    
        if(DRIVE_FIXED==GetDriveTypeW(p))    
        {       
            DWORD dwMaxComLen,dwFileSysFlag;    
            GetVolumeInformationW(p,szVolumeName,32,NULL,&dwMaxComLen,&dwFileSysFlag,fileSysBuf,8);    
            if(fileSysBuf[0]==L'N' && fileSysBuf[1]==L'T' && fileSysBuf[2]==L'F' && fileSysBuf[3]==L'S')    
            {    
                swprintf(szRootName,L"%s (%c:)",szVolumeName,*p);    
                WCHAR szVolumePath[10];    
                swprintf(szVolumePath,L"\\\\.\\%c:",*p);    
                wcout<<szVolumePath<<endl;    
            }    
        }    
    }    
}    
    
int main()    
{    
    //wcout.imbue(locale(locale(),"",LC_CTYPE));    
    char szACP[16];      
    sprintf(szACP, ".%d", GetACP());      
    //setlocale(LC_CTYPE, szACP);    
    wcout.imbue(locale(locale(),szACP,LC_CTYPE));    
    OpenNtfsVolume();    
    
    WCHAR driveletter[] = L"\\\\.\\D:";    
    HANDLE hVol = CreateFile(driveletter, GENERIC_READ | GENERIC_WRITE, FILE_SHARE_READ | FILE_SHARE_WRITE,NULL,OPEN_EXISTING,0,NULL);    
    NTFS_VOLUME_DATA_BUFFER ntfsVolData;    
    DWORD dwWritten = 0;    
    
    BOOL bDioControl = DeviceIoControl(hVol, FSCTL_GET_NTFS_VOLUME_DATA, NULL, 0, &ntfsVolData, sizeof(ntfsVolData), &dwWritten, NULL);    
    if (!bDioControl) {wcout<<L"error"<<endl; return 1;}    
    
    LARGE_INTEGER num;    
    num.QuadPart = 1024;    
    LONGLONG total_file_count = (ntfsVolData.MftValidDataLength.QuadPart/num.QuadPart);    
    wcout<<L"total_file_count:"<<total_file_count<<endl;    
    
    
    PNTFS_FILE_RECORD_OUTPUT_BUFFER ntfsFileRecordOutput = (PNTFS_FILE_RECORD_OUTPUT_BUFFER)malloc(sizeof(NTFS_FILE_RECORD_OUTPUT_BUFFER)+ntfsVolData.BytesPerFileRecordSegment-1);    
    for( LONGLONG i = 0; i < total_file_count && i < 10;i++)    
    {    
        NTFS_FILE_RECORD_INPUT_BUFFER mftRecordInput;    
        mftRecordInput.FileReferenceNumber.QuadPart = i;    
        memset(ntfsFileRecordOutput, 0, sizeof(NTFS_FILE_RECORD_OUTPUT_BUFFER)+ntfsVolData.BytesPerFileRecordSegment-1);    
        DeviceIoControl(hVol, FSCTL_GET_NTFS_FILE_RECORD, &mftRecordInput, sizeof(mftRecordInput), ntfsFileRecordOutput, sizeof(NTFS_FILE_RECORD_OUTPUT_BUFFER)+ntfsVolData.BytesPerFileRecordSegment-1, &dwWritten, NULL);    
        PFILE_RECORD_HEADER pfileRecordheader=(PFILE_RECORD_HEADER)ntfsFileRecordOutput->FileRecordBuffer;    
        if(pfileRecordheader->Ntfs.Type != 'ELIF')    
            continue;    
        for(PATTRIBUTE pAttribute = (PATTRIBUTE)((PBYTE)pfileRecordheader +pfileRecordheader->AttributeOffset);pAttribute->AttributeType != -1;pAttribute=(PATTRIBUTE)((PBYTE)pAttribute +pAttribute->Length))    
        {    
            switch (pAttribute->AttributeType)    
            {    
            case AttributeFileName:    
                {    
                    if((0x0002 & pfileRecordheader->Flags) && (0x0001 & pfileRecordheader->Flags));    
                    PFILENAME_ATTRIBUTE pFileNameAttr=PFILENAME_ATTRIBUTE((PBYTE)pAttribute+PRESIDENT_ATTRIBUTE(pAttribute)->ValueOffset);    
                }    
                break;    
            case AttributeStandardInformation:    
                break;    
            case AttributeAttributeList:    
                break;    
            case AttributeObjectId:    
                break;    
            }    
        }    
    }    
    free(ntfsFileRecordOutput);    
    
    USN_JOURNAL_DATA journalData;    
    READ_USN_JOURNAL_DATA readData = {0, 0xFFFFFFFF, FALSE, 0, 0};    
    
    PUSN_RECORD usnRecord;    
    DWORD dwBytes;    
    DWORD dwRetBytes;    
    char buffer[USN_PAGE_SIZE];    
    bDioControl = DeviceIoControl(hVol, FSCTL_QUERY_USN_JOURNAL, NULL,0,&journalData,sizeof(journalData),&dwBytes,NULL);    
    if (!bDioControl) {wcout<<L"error"<<endl; return 1;}    
    readData.UsnJournalID = journalData.UsnJournalID;    
    wprintf(L"Journal ID: %I64x\n", journalData.UsnJournalID );    
    wprintf(L"FirstUsn: %I64x\n\n", journalData.FirstUsn );    
    
    MFT_ENUM_DATA med;    
    med.StartFileReferenceNumber = 0;    
    med.LowUsn = 0;    
    med.HighUsn = journalData.NextUsn;    
    
    map<ULONGLONG,wstring> namemap;    
    map<ULONGLONG,ULONGLONG> frnmap;    
    vector<FILE_INFO> fileVect;    
    for (;;)    
    {    
        memset(buffer, 0, sizeof(USN_PAGE_SIZE));    
        //FSCTL_ENUM_USN_DATA FSCTL_READ_USN_JOURNAL    
        //DeviceIoControl( hVol, FSCTL_READ_USN_JOURNAL, &readData,sizeof(readData),&buffer,USN_PAGE_SIZE,&dwBytes,NULL);    
        bDioControl = DeviceIoControl( hVol, FSCTL_ENUM_USN_DATA, &med, sizeof(med),&buffer,USN_PAGE_SIZE,&dwBytes,NULL);    
        if (!bDioControl) {wcout<<L"error"<<endl; break;}    
    
        if(dwBytes<=sizeof(USN)) break;//结束!    
        dwRetBytes = dwBytes - sizeof(USN);//跳过了1个USN，此USN是下一论查询起点    
        usnRecord = (PUSN_RECORD)(((PUCHAR)buffer) + sizeof(USN));      
        while(dwRetBytes > 0)    
        {    
            FILE_INFO fi;    
            fi.index = usnRecord->FileReferenceNumber;    
            fi.parent = usnRecord->ParentFileReferenceNumber;    
    
            //wprintf(L"USN: %I64x\n", usnRecord->Usn );    
            //wprintf(L"File name: %.*s\n", (int)(usnRecord->FileNameLength/2),usnRecord->FileName );    
            //wprintf(L"Reason: %x\n", usnRecord->Reason );    
    
            memset(fi.name,0,sizeof(fi.name));    
            swprintf(fi.name,L"%.*ws", (int)(usnRecord->FileNameLength/2),usnRecord->FileName);    
            namemap[fi.index] = wstring(fi.name);    
            fileVect.push_back(fi);    
            frnmap[fi.index] = fi.parent;    
    
            dwRetBytes -= usnRecord->RecordLength;    
            usnRecord = (PUSN_RECORD)(((PCHAR)usnRecord) + usnRecord->RecordLength);        
        }    
        med.StartFileReferenceNumber=*(DWORDLONG*)buffer;    
        //readData.StartUsn = *(USN *)&buffer;     
    }    
    wcout<<fileVect.size()<<endl;    
    map<ULONGLONG,wstring>::iterator it;    
    /*for ( it=namemap.begin() ; it != namemap.end(); it++ )  
    {  
    wcout << (*it).first << " => " << ((*it).second).c_str() <<"==>"<<namemap[(*it).first].c_str()<< endl;  
    }*/    
    
    //wofstream ofs(L"data.txt");    
    for (LONGLONG i = 0; i < fileVect.size(); i++)    
    {    
        FILE_INFO fi = fileVect[i];    
        wcout<<i<<": "<<fi.name<<"===>";    
        ULONGLONG parent = fi.parent;    
        while (namemap.find(parent) != namemap.end())    
        {    
            wstring dir = namemap[parent];    
            wcout<<L"\\"<<dir.c_str();    
    
            if (frnmap.find(parent) != frnmap.end())    
            {    
                parent = frnmap[parent];    
            }    
            else    
            {    
                break;    
            }    
        }    
        wcout<<endl;    
    }    
    wcout<<"done"<<endl;    
    CloseHandle(hVol);    
    return 0;    
}    
    
/*typedef struct {  
  
DWORD RecordLength;  
WORD   MajorVersion;  
WORD   MinorVersion;  
DWORDLONG FileReferenceNumber;  
DWORDLONG ParentFileReferenceNumber;  
USN Usn;  
LARGE_INTEGER TimeStamp;  
DWORD Reason;  
DWORD SourceInfo;  
DWORD SecurityId;  
DWORD FileAttributes;  
WORD   FileNameLength;  
WORD   FileNameOffset;  
WCHAR FileName[1];  
  
} USN_RECORD, *PUSN_RECORD;*/    
    
   
   
   
 下面是ntfs.h的内容，编译使用UNICODE编码  
    
   
   
   
 [cpp] view plaincopyprint?  
#include <Windows.h>     
#include <WinIoCtl.h>    
    
typedef struct {     
    ULONG Type;  //4B  'ELIF','XDNI','DAAB','ELOH','DKHC'      
    USHORT UsaOffset;  //2B 更新序列号数组偏移，校验值地址     
    USHORT UsaCount;  //1+n 1为校验值个数 n为待替换值个数  fixup     
    USN Usn; //8B 每次记录被修改 USN都变化     
} NTFS_RECORD_HEADER, *PNTFS_RECORD_HEADER;    
    
typedef struct { //sizeof(FILE_RECORD_HEADER)==48     
    NTFS_RECORD_HEADER Ntfs;  //16B Ntfs.Type总是'ELIF'     
    USHORT SequenceNumber; //File Reference Number的高16位  i是低48位 0~total_file_count-1    
    //用于记录主文件表记录被重复使用的次数     
    USHORT LinkCount; //记录硬连接的数目，只出现在基本文件记录中     
    USHORT AttributeOffset; //第一个属性的偏移     
    USHORT Flags;       // 0x0001 = InUse, 0x0002 = Directory     
    ULONG BytesInUse;  //记录头和属性的总长度，即文件记录的实际长度文件,即记录在磁盘上实际占用的字节空间。     
    ULONG BytesAllocated; //总共分配给记录的长度     
    ULONGLONG BaseFileRecord; //基本文件记录中的文件索引号，     
    //对于基本文件记录，其值为0，如果不为0，则是一个主文件表的文件索引号，     
    //指向所属的基本文件记录中的文件记录号，     
    //在基本文件记录中包含有扩展文件记录的信息，存储在“属性列表ATTRIBUTE_LIST”属性中。     
    USHORT NextAttributeNumber; //下一属性ID     
} FILE_RECORD_HEADER, *PFILE_RECORD_HEADER;    
    
    
//文件记录中按属性非降序（因为有时连续多个相同的属性）排列，     
//属性的值即为 字节流     
typedef enum {     
    //诸如只读、存档等文件属性；     
    //时间戳：文件创建时、最后一次修改时；     
    //多少目录指向该文件（硬链接计数hard link count）     
    AttributeStandardInformation = 0x10, //Resident_Attributes 常驻属性    
    
    //?????????????????????????????????     
    //当一个文件要求多个MFT文件记录时 会有该属性     
    //属性列表，包括构成该文件的这些属性，以及每个属性所在的MFT文件记录的文件引用     
    //?????????????????????????????????     
    AttributeAttributeList = 0x20,//由于属性值可能会增长，可能是非驻留属性    
    
    //文件名属性可以有多个：     
    //1.长文件名自动为其短文件名(以便MS-DOS和16位程序访问)     
    //2.当该文件存在硬链接时     
    AttributeFileName = 0x30, //常驻    
    
    //一个文件或目录的64字节标识符，其中低16字节对于该卷来说是唯一的     
    //链接-跟踪服务将对象ID分配给外壳快捷方式和OLE链接源文件。     
    //NTFS提供了相应的API，因为文件和目录可以通过其对象ID，而不是通过其文件名打开     
    AttributeObjectId = 0x40, //常驻    
    
    //为与NTFS以前版本保持向后兼容     
    //所有具有相同安全描述符的文件或目录共享同样的安全描述     
    //以前版本的NTFS将私有的安全描述符信息与每个文件和目录存储在一起     
    AttributeSecurityDescriptor = 0x50,//出现于$Secure元数据文件中    
    
    //保存了该卷的版本和label信息     
    AttributeVolumeName = 0x60, //仅出现于$Volume元数据文件中     
    AttributeVolumeInformation = 0x70,//仅出现于$Volume元数据文件中    
    
    //文件内容，一个文件仅有一个未命名的数据属性，但可有额外多个命名数据属性     
    //即一个文件可以有多个数据流，目录没有默认的数据属性，但可有多个可选的命名的数据属性     
    AttributeData = 0x80,//由于属性值可能会增长，可能是非驻留属性    
    
    //以下三个用于实现大目录的文件名分配和位图索引     
    AttributeIndexRoot = 0x90,//常驻     
    AttributeIndexAllocation = 0xA0,     
    AttributeBitmap = 0xB0,    
    
    //存储了一个文件的重解析点数据，NTFS的交接(junction)和挂载点包含此属性     
    AttributeReparsePoint = 0xC0,    
    
    //以下两个为扩展属性，现已不再被主动使用，之所以提供是为与OS/2程序保持向后兼容     
    AttributeEAInformation = 0xD0,     
    AttributeEA = 0xE0,    
    
    AttributePropertySet = 0xF0,     
    AttributeLoggedUtilityStream = 0x100,     
    AttributeEnd=0xFFFFFFFF     
} ATTRIBUTE_TYPE, *PATTRIBUTE_TYPE;    
    
typedef struct {     
    ATTRIBUTE_TYPE AttributeType;     
    ULONG Length; //本属性长度（包含属性值）     
    BOOLEAN Nonresident; //本属性不是 驻留 属性么？     
    UCHAR NameLength; //属性名的名称长度     
    USHORT NameOffset;//属性名偏移     
    USHORT Flags; // 0x0001 压缩 0x4000 加密 0x8000稀疏文件     
    USHORT AttributeNumber;     
} ATTRIBUTE, *PATTRIBUTE;    
    
typedef struct {     
    ATTRIBUTE Attribute;     
    ULONG ValueLength; //属性值长度     
    USHORT ValueOffset; //属性值偏移     
    USHORT Flags; // 索引标志 0x0001 = Indexed     
} RESIDENT_ATTRIBUTE, *PRESIDENT_ATTRIBUTE;    
    
typedef struct {     
    ATTRIBUTE Attribute;     
    ULONGLONG LowVcn;     
    ULONGLONG HighVcn;     
    USHORT RunArrayOffset;     
    UCHAR CompressionUnit;     
    UCHAR AlignmentOrReserved[5];     
    ULONGLONG AllocatedSize;     
    ULONGLONG DataSize;     
    ULONGLONG InitializedSize;     
    ULONGLONG CompressedSize;    // Only when compressed     
} NONRESIDENT_ATTRIBUTE, *PNONRESIDENT_ATTRIBUTE;    
    
typedef struct { //文件名属性的值区域     
    ULONGLONG DirectoryFileReferenceNumber; //父目录的FRN     
    ULONGLONG CreationTime;     
    ULONGLONG ChangeTime;     
    ULONGLONG LastWriteTime; // 最后一次MFT更新时间     
    ULONGLONG LastAccessTime;     
    ULONGLONG AllocatedSize; // 未明     
    ULONGLONG DataSize; // 偶尔与文件大小GetFileSize不同     
    ULONG FileAttributes;     
    ULONG AlignmentOrReserved;     
    UCHAR NameLength;     
    UCHAR NameType; //POSIX 0x0  WIN32 0x01  DOS 0x02  WIN32&DOS 0x3     
    WCHAR Name[1];     
} FILENAME_ATTRIBUTE, *PFILENAME_ATTRIBUTE;    
    
typedef struct {     
    ATTRIBUTE_TYPE AttributeType;   //属性类型     
    USHORT Length;                  //本记录长度     
    UCHAR NameLength;               //属性名长度     
    UCHAR NameOffset;               //属性名偏移     
    ULONGLONG LowVcn;               //起始VCN     
    ULONGLONG FileReferenceNumber;  //属性的文件参考号     
    USHORT AttributeNumber;         //标识     
    WCHAR Name[1];     
} ATTRIBUTE_LIST, *PATTRIBUTE_LIST;    
    
#pragma pack(push,1)     
typedef struct { //512B     
    UCHAR Jump[3];//跳过3个字节     
    UCHAR Format[8]; //‘N’'T' 'F' 'S' 0x20 0x20 0x20 0x20     
    USHORT BytesPerSector;//每扇区有多少字节 一般为512B 0x200     
    UCHAR SectorsPerCluster;//每簇有多少个扇区     
    USHORT BootSectors;//     
    UCHAR Mbz1;//保留0     
    USHORT Mbz2;//保留0     
    USHORT Reserved1;//保留0     
    UCHAR MediaType;//介质描述符，硬盘为0xf8     
    USHORT Mbz3;//总为0     
    USHORT SectorsPerTrack;//每道扇区数，一般为0x3f     
    USHORT NumberOfHeads;//磁头数     
    ULONG PartitionOffset;//该分区的便宜（即该分区前的隐含扇区数 一般为磁道扇区数0x3f 63）     
    ULONG Reserved2[2];     
    ULONGLONG TotalSectors;//该分区总扇区数     
    ULONGLONG MftStartLcn;//MFT表的起始簇号LCN     
    ULONGLONG Mft2StartLcn;//MFT备份表的起始簇号LCN     
    ULONG ClustersPerFileRecord;//每个MFT记录包含几个簇  记录的字节不一定为：ClustersPerFileRecord*SectorsPerCluster*BytesPerSector    
    ULONG ClustersPerIndexBlock;//每个索引块的簇数     
    ULONGLONG VolumeSerialNumber;//卷序列号     
    UCHAR Code[0x1AE];     
    USHORT BootSignature;     
} BOOT_BLOCK, *PBOOT_BLOCK;     
#pragma pack(pop)    