E0H类型属性,即$EA,也就是扩展属性,它用于在NTFS下实现HPFS。由于其数据流可能增长,所以该文件属性可能是非常驻的。该属性没有最小字节数限制,但最大只能达到65 536字节。扩展属性由“名称”和“值”成对组成,其描述见表4-76。
表4-76 E0H属性描述表
字节偏移 | 字段长度(字节) | 描述 |
~ | ~ | 标准属性头(已分析过) |
0x00 | 4 | 下一个扩展属性的偏移,也就是本偏移的长度 |
0x04 | 1 | 标志,当其值为80H时表示需要扩展属性 |
0x05 | 1 | 名称长度(N) |
0x06 | 2 | 值长度(V) |
0x08 | N | 名称 |
N+0x08 | V | 值 |