$Reparse是重解析点文件,Windows 2003、Windows XP等系统可以将卷装载在目录中进行重新解析。$Reparse一般包含3个属性,如图4-465所示。

元文件$Reparse分析-数据恢复迷

图4-465 $Repares的文件记录

(1)10H属性

10H属性用来定义$Repares的创建时间、最后修改时间、该MFT修改时间、文件最后访问时间、文件标志等信息。

(2)30H属性

30H属性定义了$Repares的父目录的文件参考号为$Extend、$Repares的一些时间属性、系统分配给$Repares的大小(这里为0字节)、实际使用的大小(这里为0字节)、文件的标志;定义了该文件的文件名长度为8个字符、命名空间为3,即Win32 & DOS命名空间;在属性的最后定义了该文件的文件名为Unicode字符串“$Repares”。

(3)90H属性

90H属性的属性名为$R,也就是$R索引。$R索引的结构见表4-88。

表4-88 $R索引结构

元文件$Reparse分析-数据恢复迷

在本例中$Repares没有A0H属性,因为该卷没有重解析点。在有重解析点的卷中,该元文件会有一个A0H属性,其属性名也为$R,表示其为$R索引。