文件记录的结构

MFT以文件记录来实现对文件的管理，每个文件记录都对应着不同的文件，大小固定为1KB，也就是占用两个扇区，而不管簇的大小是多少。如果一个文件有很多属性或是分散成很多碎片，就很可能需要多个文件记录。这时，存放其文件记录位置的第一个记录就称作“基本文件记录”。文件记录在MFT中物理上是连续的，从0开始依次按顺序编号。

文件记录由两部分构成，一部分是文件记录头，另一部分是属性列表，其结构见表4-31。

表4-31　文件记录的结构

通过WinHex查看一下$MFT文件的文件记录，结构如图4-404所示。

图4-404　$MFT文件的文件记录的结构

文件记录头的结构

在同一系统中，文件记录头的长度和具体偏移位置的数据含义是不变的，而属性列表是可变的，其不同的属性有着不同的含义。后文将对属性进行具体分析，先来看看文件记录头的信息，图4-405中阴影部分为一个文件记录的记录头信息。

图4-405　NTFS的文件记录头

NTFS文件记录头信息的含义见表4-32。

表4-32　NTFS文件记录头信息

具体说明如下：

偏移00H～03H为MFT的标志字符串，它总为“FILE”。

每次记录被修改都将导致偏移08H～09H处的日志文件序列号$LogFile Sequence Number（LSN）发生变化。

偏移10H～11H处序列号Sequence Number（SN）用于记录主文件表记录被重复使用的次数。

偏移12H～13H处为硬连接数记录硬连接的数目，只出现在基本文件记录中。

偏移18H～1BH处文件记录的实际长度也即文件记录在磁盘上实际占用的字节空间。

偏移1CH～1FH为系统分配给文件记录的长度，一般为“00 04 00 00”，也就是1KB的长度。

偏移20H～27H处为基本文件记录中的文件索引号，基本文件记录在此的值总为0。如果不为0，则是一个主文件表的文件索引号，指向所属的基本文件记录中的文件记录号。在基本文件记录中包含有扩展文件记录的信息，存储在“属性列表ATTRIBUTE_LIST”属性中。

偏移2CH～2FH处为文件记录编号，从0开始编号。

偏移30H～31H处为更新序列号，这两个字节同时会出现在该文件记录第一个扇区最后两个字节处及该文件记录第二个扇区最后两个字节处，如图4-406和4-407所示。

图4-406　文件记录第一个扇区

图4-407　文件记录第二个扇区

偏移32H～35H处为更新数组，这4个字节很重要，它的作用如下：

因为文件记录中“更新序列号”的两个字节同时会出现在该文件记录第一个扇区最后两个字节处及该文件记录第二个扇区最后两个字节处，也就是事先占用了文件记录的4个字节，当文件记录中的信息需要往这4个字节处写入时，就跳转到了32H～35H处来写。具体对应关系是：文件记录第一个扇区最后两个字节对应32H～33H处，文件记录第二个扇区最后两个字节对应34H～35H处，如图4-408所示。

图4-408　更新数组的对应关系

当信息还没有写入该文件记录第一个扇区最后两个字节处及该文件记录第二个扇区最后两个字节处时，更新数组处的4个字节就为0。

文件记录头的参数也可以使用WinHex中的模板来查看，WinHex的模板管理器中提供文件记录的模板。打开WinHex的模板管理器，选择NTFS文件记录的模板，如图4-409所示。

图4-409　模板管理器

图4-409中模板管理器的“①、②、③”三个模板都是NTFS文件记录的模板，其中“①”是WinHex自带的，但对参数的解释不是太全面；“②”是笔者在“①”的基础之上做了些完善；“③”是笔者将“②”做了汉化，翻译成中文了，方便使用。现在就打开“③”来查看NTFS的文件记录头，如图4-410所示。

图4-410　NTFS的文件记录头模板

文件记录中属性的结构

属性的类型

前面说过，文件记录由两部分构成，一部分是文件记录头，另一部分是属性列表。在NTFS系统中所有与文件相关的数据均被认为是属性，包括文件的内容。文件记录是一个与文件相对应的文件属性数据库，它记录了文件数据的所有属性。

每个文件记录中都有多个属性，它们相对独立，有各自的类型和名称。一个属性的偏移00H～03H处的4个字节，为该属性的类型标志，不同的属性其结构和含义各不相同。表4-33为属性类型及其含义。

表4-33　属性类型及其含义

每一个属性都可以分为两个部分：属性头和属性体。这里以$MFT文件自身的文件记录中的10H属性为例，其结构如图4-411所示。

图4-411　属性的属性头和属性体

另外属性还有常驻与非常驻之分。当一个文件很小时，其所有属性体都可存放在MFT的文件记录中，该属性就称为常驻属性（Resident Attribute）。有些属性总是常驻的，这样NTFS才可以确定其他非常驻属性，例如，标准信息属性和根索引就总是常驻属性。

如果属性体能直接存放在MFT中，那么NTFS对它的访问时间就将大大缩短，系统只需访问磁盘一次，就可立即获得数据，而不必像FAT文件系统那样，先在FAT表中查找文件位置，再读出连续分配的簇，最后找到文件数据。

如果一个属性的属性体太大而不能存放在只有1KB大小的MFT文件记录中，那么，系统将从MFT之外为之分配区域。这些区域通常称为Data Run（数据流），它们可用来存储属性体。如果属性体是不连续的，NTFS将会分配多个Data Run，以便用来管理不连续的数据。这种属性体存储在Data Run中而不是在MFT文件记录中的属性称为非常驻属性（Nonresident Attribute）。

属性的属性头

每个属性都有一个属性头，这个属性头包含了一些该属性的重要信息，如属性类型、属性大小、名字（并非都有）及是否为常驻属性等。

一个属性根据其是否常驻和是否有属性名，可以排列组合成四种不同的情况，分别为：常驻没有属性名、常驻有属性名、非常驻没有属性名、非常驻有属性名，下面分别分析它们的属性头。

①常驻没有属性名的属性头结构。

常驻且没有属性名的属性头结构见表4-34。

表4-34　常驻没有属性名的属性头结构

下面以图4-411中的10H属性为例子来分析属性头：

偏移00H～03H的4个字节为十六进制值“10 00 00 00”，表示此属性是10H类型的属性，即$STANDARD_INFORMATION属性，称为标准信息属性；

偏移04H～07H的4个字节为包括属性头在内的属性长度，这里为十六进制值“60 00 00 00”，也就是说该属性总长度为60H；

偏移08H为非常驻属性标志，“00”表示为常驻属性，10H类型的总是常驻的，所以该字节总为00H；

偏移09H为属性名的长度，此处为十六进制数“00”，表示该属性没有属性名；

偏移0AH～0BH的两个字节为该属性名开始的偏移，此处为十六进制数“18 00”，对于没有属性名的属性，该值无意义；

偏移0CH～0DH的两个字节为属性标志，表示此属性是否是压缩、加密等，为“0000H”表示不是压缩、加密属性，只有非常驻的80H属性（数据属性）此处才可能非0000H；

偏移0EH～0FH为属性ID，此处为十六进制数“00 00”；

偏移10H～13H为属性体长度，此处为十六进制数“48 00 00 00”，也就是说属性体长度为48H；

偏移14H～15H为该属性体开始的偏移，此处为十六进制数“18 00”，表示属性体开始的偏移为18H，这也是属性头的长度；

偏移16H为索引标志，此处为“00”；

偏移17H并没有实际意义，此处为“00”；

偏移18H～98H的48H个字节是属性体的内容，其具体含义将在后文中分析。

这部分参数也可以通过文件记录的模板来查看，如图4-412所示。

图4-412　10H属性的属性头部分

②常驻有属性名的属性头结构。

常驻有属性名的属性头结构见表4-35。

表4-35　常驻有属性名的属性头结构

③非常驻没有属性名的属性头结构。

非常驻没有属性名的属性头结构见表4-36。

表4-36　非常驻没有属性名的属性头结构

④非常驻有属性名的属性头结构。

非常驻有属性名的属性头结构见表4-37。

表4-37　非常驻有属性名的属性头结构

以上介绍了属性中属性头的结构，属性头之后就是属性体，随后的章节中将对各种类型属性的属性体进行介绍。