70H（$VOLUME_INFORMATION）属性分析

70H类型属性即$VOLUME_INFORMATION，该属性说明卷的版本和状态，只有在元文件$Volum出现，其属性长为12字节（但实际上总是占用了16字节，这是因为属性的长度总是8的倍数），属性结构见表4-61。

表4-61　70H类型属性描述

字节偏移	字段长度（字节）	含义
～	～	标准属性头（已分析过）
0x00	8	总为0
0x08	1	主版本号
0x09	1	次版本号
0x0A	2	标志
0x0C	4	总为0

几点说明如下。

70H属性标志的含义

70H属性的标志含义见表4-62。

表4-62　70H属性标志描述

值	描述
0x0001	坏区标志
0x0002	调整日志文件大小
0x0004	更新装载
0x0008	装载到NT4
0x0010	删除进行中的USN
0x0020	修复对象ID
0x8000	用chkdsk修正

坏区标志为1时，Windows NT、Windows 2000、Windows XP就必须在下次重启时运行chkdsk/F命令对卷进行修复。在这些系统中可以用fsutil命令对该位进行操作坏区设置和查询等操作，其语法为：

    fsutil dirty {query|set} PathName

其中，参数query表示查询指定卷是否为坏区，参数set表示将卷设置为坏区，参数PathName则指定驱动器号（用冒号分隔）、装入点或卷名。如果设置了卷的坏区，则表明文件系统可能处于不一致的状态。

由于下述原因可以设置坏区：卷已联机且发生了明显的变化，或对卷作了更改，但在更改写入到磁盘前关闭了计算机，或者因为在卷上检测到损坏。如果重新启动计算机时设置了坏区，则运行chkdsk可以验证卷的一致性。每次启动系统时，内核程序将调用Autochk.exe扫描所有的卷，以查看是否设置了卷的坏区。如果设置了坏区，则autochk将立即在卷上执行chkdsk/f。chkdsk/f将验证文件系统的完整性并试图修复卷上的任何故障。