第20讲-NTFS分区结构分析

项目四：文件系统数据恢复任务3

NTFS文件系统结构子任务4.3.1

NTFS分区结构分析主讲人

高灵霞、廖艳CONTENT目录课前学情探究NTFS文件系统结构0102总结与拓展教学内容04工单-NTFS文件系统结构分析03教学目标>项目四

文件系统数据恢复任务3

NTFS文件系统结构分析子任务4.3.1NTFS分区结构分析素质目标知识目标能力目标1.通过子目录特殊目录项的原理分析，培养学生良好的职业道德教育2.通过FAT32格式化分区数据恢复，培养学生能立足专业，使学生遵守数据恢复工程师职业操守和注意事项1.理解NTFS分区结构，簇和卷的概念2.引导扇区结构和引导扇区修复方法3.元文件的概念及重要元文件的介绍1.学生能分析NTFS引导扇区，找出分区总数和$MFT所在的位置2.学生能使用备份扇区修复引导扇区3.能掌握NTFS分区结构，熟悉$MTF、$Boot、$Root元文件编号及存放内容思政点：自立（立足专业，奋发有为）【育人案例】

1993年,NTFS文件系统最早出现WindowsNT操作系统中，它的出现大幅度地提高了微软原来的FAT文件系统的性能。教学重点与难点

教学重点1.NTFS分区结构、DBR扇区结构2.$MTF、$Boot、$Root元文件编号及存放内容>

教学难点NTFS引导扇区BPB参数课前学情01学情分析信安2004班---项目四

技能考核FAT32文件系统数据恢复FAT32分区文件删除特征

？

FAT32分区格式化文件恢复方法？

课堂活动提醒：文件目录项特征？FAT表结构特征？提醒：子目录文件的恢复方法？根目录文件恢复方法？任务引导工程师小王在对FAT分区做了分析之后，对NTFS分区也产生了兴趣，NTFS分区的引导扇区是怎样的呢？是不是也存在文件目录表和文件分配表呢？于是打开了一个NTFS分区，进行学习分析。NTFS文件系统结构、DBR扇区结构、MFT指的是？探究NTFS文件系统结构02一、NTFS分区特点NTFS分区也存在引导扇区，也使用簇管理空间，但它和FAT32分区有很大区别，第一，它加入了许多文件管理功能；第二，它将所有的管理控制区域组织成文件形式进行管理；另外，在存储结构上，它采用索引结构，真个分区结构要复杂些。微软公司自推出WindowsNT服务器操作系统以来，就开发了一种与之对应的，可靠性和安全性都很强的，可用于服务器操作系统的文件系统，即NTFS。它与FAT文件系统相比有许多优点：可恢复性、安全性、保密性、数据容错、文件压缩、磁盘配额管理等。它解决了FAT文件系统中的许多限制（如不支持长文件名和超过4GB的文件容量）一、NTFS分区特点在NTFS分区中，引入了卷概念。卷可以看成是分区的升级版，是为了解决某些分区限制而提出的概念，卷的操作和使用和分区是一样的。卷分为简单卷和动态卷两种，简单卷就是一个普通分区，而动态卷则可以实现一些高级功能，比如可以将多个分区或者磁盘组织成一个卷，能够动态增长容量等，使其可以支持服务器存储所需的海量存储空间。二、NTFS文件系统结构二、NTFS分区结构NTFS仍然使用簇来分配文件存储，簇又叫卷因子，在分区中通常每个簇包含8个扇区，从0开始编号，这个簇号叫做逻辑簇号（LCN）。在存储文件的时候，NTFS采用了索引存储方式：即把文件按照逻辑簇大小划分为多个区块，称为虚拟簇（VCN），在主控文件表中有一张索引表，记录了VCN和LCN的对应关系，因此可以快速地访问文件任意一个部分的内容，而且簇到扇区的转换也非常简单。VCN123456LCN101102106107108221二、NTFS分区结构NTFS分区不再设管理控制区域，分区的0扇区便是0簇，全部空间都是数据区域。分区中承担管理控制信息的数据块被组织成文件，灵活地存放在任意一个位置。只有BOOT区域比较特殊，由于0扇区仍是引导扇区，因此BOOT区域始终位于分区前端。三、主控文件表与元文件在NTFS分区中，最重要的就是主控文件表（MFT），它记载了所有文件的属性信息，甚至包括数据，有点类似于FAT分区的文件目录表。为了防止遭到破坏，NTFS分区将MFT的位置移到了分区的中间，并在引导扇区中给出了它的簇号。我们在恢复数据的时候，就是依靠MFT来完成的。三、主控文件表与元文件在NTFS中承担管理控制信息的数据称为元数据，用于记载文件属性信息、簇分配信息、以及加密、配额、日志等。这些元数据分别被组织成文件，称为元文件。前面所提到的BOOT区域和MFT区域，也分别被组织为两个重要的元文件：$Boot和$MFT。NTFS中有16个元文件，每个元文件都以美元符号起头，以标示其特殊身份。这些元文件记录了分区底层的结构信息，因此非常特殊而重要，被系统保护起来，用户和应用程序不能访问它们。三、主控文件表与元文件编号元数据文件功能或内容0$MFT主控文件表本身1$MFTMirr主控文件表的部分备份（通常为前4项）2$LogFile日志文件，实现了NTFS的可恢复性和安全性3$Volume卷文件，标识卷名，是否格式化，是否需要修复等信息4$AttrDef属性定义列表文件5$Root根目录，存放目录和文件的索引，表示文件的逻辑层次关系6$Bitmap位图元文件，记录了卷中簇的分配情况7$Boot引导元文件，恒为0簇起始8$BadClus坏簇列表元文件9$Secure安全元文件，存储访问控制表（在NTFS4及以前为磁盘配额信息）10$UpCase大小写字符转换表元文件11$ExtMD扩展元数据目录（Extendedmetadatadirectory）12~15$Extended\扩展元数据，分别为重解析点、加密日志、配额管理、对象ID16~23为以后扩展而保留24~?用户文件和目录的记录编号重点完成任务一四、引导扇区结构NTFS分区的0扇区是引导扇区，也叫DBR扇区，它和后面的15个扇区（NTLDR区域）合起来构成BOOT区域，也就是$Boot元文件。$Boot元文件恒定从0簇起始，占16个扇区。NTFS分区的引导扇区同FAT分区的引导扇区在结构上非常相似，同样包含BPB，DBR和结束标志三个部分，只是在BPB参数上有部分不同。由于所有的结构信息都以元文件方式组织，因此在BPB中只包含几个重要的参数。全写NTLoader是系统加载程序，主要职责是解析Boot.ini文件，用来装载操作系统。四、引导扇区结构NTFS的BPBNTFS的DBR结尾标志偏移长度描述00H3B跳转指令（EBH52H90H），跳至54H处DBR部分03H8B文件系统和版本的OEM标志（NTFS）0BH2B每扇区字节数（通常为200H）0DH1B每簇扇区数（值为2的N次方，通常为8）15H1B介质描述，恒为F818H2B每磁道扇区数（通常为3FH，63）1AH2B磁头数（通常为FFH，255）1CH4B隐含扇区数（本分区前的扇区总数，也就是本分区的起始逻辑扇区号）24H4BNTFS未使用，总为80H00H80H00H28H8B扇区总数------比分区表描述的少1个扇区，为了保护备份的引导扇区30H8B$MFT的起始逻辑簇号38H8B$MFTMirr的起始逻辑簇号40H4B每MFT记录簇数44H4B每索引簇数48H8B分区的逻辑序列号，格式化的时候随机产生50H4B校验和四、引导扇区结构完成任务二四、引导扇区结构演示对NTFS分区引导扇区的BPB的分析过程。准备好NTFS分区的演示环境，如虚拟机、Winhex等。分析引导扇区BPB参数。指出重要的参数信息如$MFT簇号。工单-NTFS文件系统结构分析03任务实施

工单任务

项目四

任务4.3.1NTFS分区结构分析自足专业奋发有为一、修复引导扇区NTFS的引导扇区如果遭到破坏，如何恢复？

修复NTFS引导扇区首先可以用备份引导扇区，NTFS为了防止连同破坏，将备份引导扇区放到了分区的末尾处，这样足以抵御一般的破坏攻击。但如果分区被误格式化为其他文件系统比如FAT，则备份引导扇区有可能被清除掉，那时就需要利用其他的方式来恢复了。一、修复引导扇区演示使用备份的引导扇区实现对NTFS分区的引导扇区的恢复。在NTFS分区中定位某个NTFS分区的备份引导扇区。修复引导扇区。检查修复工作是否正常。总结与拓展04总结1.NTFS整个分区都是数据区，元文件的概念？2.NTFS分区两个重要的文件是$B