自己研究的NTFS文件定位.doc

有很多刚刚学习NTFS文件系统，可能都会有这个困扰，了解了DBR MFT 10 30 80 属性datarun后，还是不会怎么去定位目录或者或者子目录MFT。因为我看了很多书上面都没有讲解怎么去定位！网上资料也很抽象，很难理解，所以我在这里把我自己学习过程中的一点认识写上来，希望能够帮助大家。DBR MFT 我就不讲了。直接从定位开始，NFTS文件存储结构图DBR数据$MFT数据MFTmirr数据备份DBR在这里我要记住第5号元文件记录为根目录记录MFT 也就是好，现在进入正题，因为每个目录（文件）都有一个MFT，而子目录的MFT的首地址正是根据他的父目录的MFT来定位的，所以NTFS的文件系统中MFT正好形成了一棵树（是不是和FDT差不多，但是复杂多了）,所以大家可以想到，要定位树上叶子的位置，你必须知道ROOT（根）的位置吧，自然而然，我们就必须得到根目录的MFT的首扇子区号。大家看到这里，想必都MFT有个大概的了解了吧，通过查阅MFT的相关资料，我们可以得知：5号MFT，遍是根目录的MFT区！那么如何得到5号MFT的首扇区号呢.?我们可以通过DBR，通过DBR的参数（具体请自己查阅）我们可以获得0号MFT的首簇号,因为一个MFT占用2个扇区，我们可以轻松得知5号MFT的首扇区号(这个都不会算的话，那我也没办法了),好现在知道了根目录的MFT那我们就可以通过这个MFT寻找他所有直接子结点的MFT，好，现在基本方法大家都知道了吧，比如我们要定位D:abc.txt这个c.txt文件，那么通过根目录的MFT我们可以定位到a的MFT,再由a的MFT获取b的MFT，由b的MFT获取c.txt的MFT,最后由c.txt的MFT分析可得这个TXT文件的DATA扇区号。这样大家的思路是不是清楚了。这里我以实例来说明如何定位，H盘有个文件 路径是H:111222nihao.txt首先要找到我们111目录的MFT表。从第5号元文件，也就是索引根目录也就是ROOT DIRECTORY， 3083336扇区，我们可以从第5号MFT算出它的位置我们打开第5号MFT80属性的运行就是我们需要找的位置， 31 01 FE FF 03 开始簇号为262142 大小为1簇，转换为扇区也就是簇乘以8等于3083336，当然如果打开的是物理盘有MBR或者EBR要加上MBR扇区，我这里打开的是逻辑盘，所以不用加，我们跳转到3083336扇区，看看是不是根目录。49 4E 44 58 这个就是跟目录索引，在这个里面存放所有根目录下面的所有文件或者目录的以unicode编码的文件名，我们可以用winhex搜索！首先我们要知道文件名的UNICODE编码是什么，这里我们用文本输入文件名，然后保存UNICODE编码，用winhex打开，去掉见面的FF FE 后面就是该文件或目录UNICODE编码，这里我们为111的目录为例！这里我们111的目录UNICODE编码是31 00 31 00 31 00我们在根目录里面搜索 31 00 31 00 31 00很快我就找到匹配项目然后我们向上数5行，我是这样数的，呵呵，因为我不了解这里的结构，但是我实验过多次就是这个地方。就是这个目录的。这里是1D 00 00 00 MFT 记录编号！（不明白记录编号的可以查下MFT文件记录 ） 转换10进制为29，所以它的位置是29*2+$MFT扇区号 （2097152）=2097210我们在跳转到2097210 ，看看是不是111目录的记录文件从30属性里面可以看出这个就是111目录的记录项。这里我们已经完成的对根目录 文件和目录定位。接下来才是重要的，对子目录和文件的定位，也是我看了很多书上面讲解的不详细的地方。现在我们已经定位了H盘下面的111目录，现在我们在来定位111目录下面的222目录，而111也有一个索引根，我是这样理解的，可能跟书上不一样，每个文件夹都有自己的索引根（里面文件的90记录超过2个扇区，没有超过其实是直接放在90属性里面的）从上面这副图我们看到A0属性的运行时31 01 87 E1 05!A0属性其实就是存放在簇外面的根索引位置记录。87 E1 05 的簇号是385415 转换为扇区是6166520，我们跳转到6166520扇区，看看里面是什么。494E4458 是不是感觉根目录索引一样？其实是不是一样我也不清楚，呵呵。但是不是一个。以前不细心，老以外和根目录索引是一个，其实外部索引都是494E4458开头。接下来我们来搜索222的目录UNICODE名字。32 00 32 00 32 00 ！直接搜索到了，就在本扇区上面，然后向上数5行，35 00 00 00文件记录编号 转换成10进制是53 53*2+$MFT记录扇区= 2097258号扇区，来到2097258扇区没有错，从30属性这儿可以看出222目录的文件记录！有没有发现这个里面只有90属性，没有A0属性，没有80属性，那是因为他的索引能存放在2个扇区内部，也就是90属性，所以不需要外部索引，跟刚才的不一样，因为我111目录里面存放了多个文件，超过2个扇区能容纳的A90属性，这里直接从90属性我们可以看到我们最终需要的文件名,nihao.txt，不知道大家看到么有，然后又数上面5行，别烦哈，反正我是这样数，2A 00 00 00转换10进制是42 42*2+$MFT= 2097236, 继续打开2097236扇区看看是不是我们最终需要的nihao.txt的文件记录30属性里面的名字为nihao .