数据恢复笔记——NTFS文件系统

DBR的数据结构

偏移	描述
00-02	跳转指令
0D-0D	每簇扇区数
28-2F	文件系统扇区总数
30-37	（MFT）主文件表起使簇号

跳转指令对应数据可以找到NTFS的DBR。

NTFS文件系统的元文件

在格式化为NTFS文件后，系统对分区写入的文件就是元文件。
其中根据起使簇号，先跳转到MFT。其中2C-2F位置为对应序号，文件名也可以看出来。用鼠标向下滚过一个扇区可以看到2C-2F位置对应序号1的$MFTMirr文件名。

主文件表MFT

• 以明文“FILE”开头。实验中对应46 49 4C 45。
• 每个MFT项都占用1024个字节，即两个扇区。
• 每个MFT项占用的两个扇区，最后两个字节为一个修正值，这个修正值和MFT项中的更新序列号相同。如果系统发现不同，就会认为此MFT项错误，会把开头明文改为“BAAD”。
  

MFT属性类型

属性类型值（16进制）	描述
10	标准信息
20	属性列表
30	文件名属性
40	对象ID
50	安全描述符
60	卷名
70	卷信息
80	文件数据内容
90	索引根属性
A0	索引分配树节点
B0	$MFT文件和索引的位图

10h属性体数据结构

30h属性体的数据结构

其中在实验中winhex显示的38-3B为“06 00 00 00”.可以分为：2和4，表明文件为隐藏的系统文件。

60h属性体的数据结构

60属性是卷名属性，用以记录卷名。在属性体中记录的为Unicode代码。

70h属性体的数据结构

70属性是卷信息属性，用以描述卷的版本、状态等信息。

80h属性体的数据结构

• 80属性是数据属性
• 常驻80h属性的属性体是数据内容
• 非常驻80h属性的属性体是簇流运行。

MFT属性中的属性头数据结构

其中MFT属性可以分为两类：常驻属性和非常驻属性。
常驻属性：直接在MFT项中记录属性体。（只能记录少量的数据）
非常驻属性：在MFT之外的地方记录属性体。
常驻属性的数据结构（从属性开始的地方偏移，而不是从头）:

偏移字节（16进制）	描述
00-03	属性类型
08-08	0：常驻属性。1：非常驻属性
10-13	属性体字节数。（实验中为“4A 00 00 00”，表示属性体4行在多出半行到A这个位置）
14-15	属性体偏移的字节数

非常驻属性的数据结构（从属性开始的地方偏移，而不是从头）:

偏移字节（16进制）	描述
00-03	属性类型
08-08	0：常驻属性。1：非常驻属性
10-17	属性体的起始虚拟簇号
18-1F	属性体的结束虚拟簇号
20-21	簇流运行的偏移地址
28-2F	属性体占用总空间
30-37	属性体实际占用字节数
38-3F	属性体的初始大小
40-	簇流的记录信息

MFT的簇流运行数据结构

32 => 0011 0010

• 第一个数值的低4位为“2”:对应后面两个数值
• 第一个数值的高4位为“3”：簇流大小后面的3个数值
• 前两个数值“C0 02”：簇流的大小
• 后面三个数值“00 00 0C”：簇流起使簇

手工提取文件数据

1. 先在DBR，根据“30-37”对应（MFT）主文件表起使簇号，点击跳转到MFT。(或点击$MFT文件)
2. 打开LoveString软件，将文件名输入进去。复制Unicode编码方式的编码。
3. 点击“查找十六进制数值”，将刚刚的代码复制进去，下面的勾都不勾。点击查找。
4. 会在“30”属性中查找到对应的文件名。
5. 在“80”属性中查找属性体部分，按照上面簇流运行的数据结构，查找“簇流大小”、“簇流起使簇”
6. 转跳到“簇流起使簇”，右键“选块起使位置”。再跳转到“簇流起使簇”+“簇流大小”位置，右键“选块尾部”。
7. 选中之后右键，“编辑”→“复制选块”→“至新文件”。重命名为文件正确格式。

手工提取片段文件数据

如果后面是00，那么那么这个簇流运行结束，否则还有簇流运行。
下个簇流的起始簇号是相对于这个簇流的起始簇号。

1. 按照上面一般文件提取顺序，将第一部分文件提取出来，命名为“1”
2. 看到后面不为00重复以上操作，将第二部分文件提取出来，命名为“2”。7.（注意：第二个起始簇号并不是上面的标号，第二个簇号是相对于第一个簇号来说，第二个簇号=第一个簇号+标号）
3. 提取出两个选块后，“工具”→“文件工具”→“文件合并”。
4. 先保存一个后缀名和原文件相同的文件，然后按照顺序进行附加。双击即可。

常驻80h属性

直接创建文件的时候文件内容少点就行，属性体中可以放的下就行。
选中其属性体，右键→“编辑”→“复制选块”→“至新文件”，即可复制文件。

B0属性体的数据结构

B0属性为位图属性，描述索引或MFT的分配情况。
比如：$MFT文件的MFT项中位图存储位置

“31 01 FF FF 03”其中
03 FF FF：为“262143”。代表此簇流起始于262143簇
01：代表大小一个簇。