60H类型属性即$VOLUME_NAME,这个属性只是简单的包含卷的名称。它最小占两字节,最大占256字节,所以卷名最长为127个Unicode字符(必须留一个Unicode字符作为结束标志)。该属性结构非常简单,见表4-60。

表4-60 60H类型属性描述

字节偏移 字段长度(字节) 含义
标准属性头(已分析过)
0x00 Unicode卷名

在60H属性中,通过Unicode字符为空来表示卷名结束,它的长度属性存储在头部中,卷序列号存储在$Boot元文件中。60H的例子如图4-421所示。

60H($VOLUME_NAME)属性分析-数据恢复迷

图4-421 60H的例子