分析ntfs文件系统快速得到特定内容

课程讲解分析NTFS文件系统快速得到特定文件的内容分析NTFS文件系统快速得到特定文件的内容找某一个文件的内容（如要读取磁盘2第二分区“dir\test\test.txt”），具体步骤如下：（1）读取磁盘分区表/分区链表信息，找到第二分区的起始扇区。（2）读取第二分区的第一个扇区（分区的BOOTSETOR）取得分区的每簇大小，MFT表起始簇号等信息。（3）读取它的第五个记录（$root，根目录），通过AO属性找到根目录的外部索引。（4）读取外部索引，在索引项中，找到“dir”目录所在的MFT记录号。（5）读取“dir”的MFT记录，通过90属性找到“test”的MFT记录号。（6）读取“test”的MFT记录，在90属性的索引项中，找到“test.txt”的MFT记录号。（7）读取“test.txt”的MFT记录，在80属性中读取“test.txt”文件的数据。（1）读取磁盘分区表/分区链表信息，找到第二分区的起始扇区。其中从0x01BE到0x01FD这64个字节表示的是4个主分区的信息。每个主分区16个字节描述，含义如右图。其中扇区最后两个字节是0x550xaa，这也可以验证是否是标准的MBR。NTFS文件系统下的引导扇区偏移地址（定位）占用字节数描述0D1每簇扇区数（一般为每簇8扇区）28~2F8文件系统扇区总数（此值比分区表描述扇区数小1）30~378MFT起始簇号38~3F8MFT备份的起始簇号401每个MFT项（文件记录）的大小441每个索引的大小簇数（2）读取第二分区的第一个扇区（分区的BOOTSETOR）取得分区的每簇大小，MFT表起始簇号等信息。（3）读取它的第五个记录（$root，根目录），通过AO属性找到根目录的外部索引。偏移长度描述0H4MFT记录标志（46494C45，ASCII字符串：“FILE”）2CH4本文件记录号(起始编号为0)MFT记录头（范围为0x00H-0x37H）：偏移大小值意义0X004

0xA0属性类型0X044

属性长度0X0810X01驻留标志（01表示文件属性为非常驻）0x2020x40＋2N到数据运行的偏移量（属性类型到运行的距离)0x288

为属性值分配大小（按簇大小计算）0x308

属性值实际大小0x388

属性初始大小（与分配大小不等时使用）0x402×NUnicode字符属性名称（如$I30，或为未命名）2N+0x404×N

数据运行（记录运行大小和开始的簇号,读取外部索引块）AO属性（4）读取外部索引，在索引项中，找到“dir”目录所在的MFT记录号。定位文件的MFT记录：简单的方法是从文件夹名位置往上5行寻找（即文件名第一字节往前数74个字节处前8个字节，通常只用低位4字节），得其文件的MFT参考号，如下图：（5）读取“dir”的MFT记录，通过90属性找到“test”的MFT记录号。同步骤（4）一样定位文件的MFT记录。索引块和MFT记录（90属性）中，用索引项的“文件MFT参考号”，定位MFT记录。MFT参考号的寻找：在索引项中，从文件（夹）名称所在字节的开头（位于索引项的偏移0x52）处，向上寻找5行，一般即为下级文件（夹）的MFT参考号（ID号）所在。MFT参考号虽然都位于每个索引项的开头，但因文件（夹）名可以搜索，并且在WINHEX扇区图的右面有显示，所以从文件（夹）名位置去找MFT参考号一般会更容易一点。MFT参考号×2＋$MFT起始扇区号，即下级文件（夹）MFT记录的分区扇区号。（6）读取“test”的MFT记录，在90属性的索引项中，找到“test.txt”的MFT记录号。同步骤（4）一样定位文件的MFT记录。（7）读取“test.txt”的MFT记录，在80属性中读取“test.txt”文件的数据。偏移大小值意义0X0040X80属性类型（0x80，数据流属性）0X0440X48属性长度（包括属性头）0X0810x00常驻标志（0X00，为常驻属性）文件数据属性（80H）为常驻属性，直接从属性体中读取数据。常为偏移地址0x17后面，大小是4字节的倍数。80属性（非常驻）偏移大小值意义0X0040X80属性类型（0x80，数据流属性）0X0440X48属性长度（包括属性头）0X0810x01常驻标志（0X01，为非常驻属性）0x108

起始