NTFS （New Technology File System），是 Windows NT 环境的文件系统。新技术文件系统是Windows NT家族（如，Windows 2000、Windows XP、Windows Vista、Windows 7和 windows 8.1）等的限制级专用的文件系统（操作系统所在的盘符的文件系统必须格式化为NTFS的文件系统，4096簇环境下）。NTFS取代了老式的FAT文件系统。

NTFS对FAT和HPFS作了若干改进，例如，支持元数据，并且使用了高级数据结构，以便于改善性能、可靠性和磁盘空间利用率，并提供了若干附加扩展功能。NTFS文件系统拥有以下特点：

安全性高：NTFS支持基于文件或目录的ACL，并且支持加密文件系统（EFS）。

可恢复性：NTFS支持基于原子事务概念的文件恢复，比较符合服务器文件系统的要求。

文件压缩：NTFS支持基于文件或目录的文件压缩，可以很方便的节省磁盘空间。

磁盘配额：NTFS支持磁盘配额，可针对系统中每个用户分配磁盘资源。

一、分析NTFS文件系统的结构

当用户将硬盘的一个分区格式化为NTFS分区时，就建立了一个NTFS文件系统。NTFS文件系统同FAT32文件系统一样，也是用“簇”为存储单位，一个文件总是占用一个或多个簇。

NTFS文件系统使用逻辑簇号（LCN）和虚拟簇号（VCN）对分区进行管理。

逻辑簇号：既对分区内的第一个簇到最后一个簇进行编号，NTFS使用逻辑簇号对簇进行定位。

虚拟簇号：既将文件所占用的簇从开头到尾进行编号的，虚拟簇号不要求在物理上是连续的。

NTFS文件系统一共由16个“元文件”构成，它们是在分区格式化时写入到硬盘的隐藏文件（以”$”开头），也是NTFS文件系统的系统信息。

NTFS的16个元文件介绍：

二、分析$Boot文件

下面我们分析一下DBR中的各参数：

• 
  EB 52 90（跳转指令）
  

  本身占2字节它将程序执行流程跳转到引导程序处。“EB 52 90”清楚地指明了OS引导代码的偏移位置。jump 52H加上跳转指令所需的位移量，即开始于0×55。

• 
  4E 54 46 53 20 20 20 20（OEM代号）
  

  这部分占8字节，其内容由创建该文件系统的OEM厂商具体安排，本例为“NTFS”。

• 
  BPB
  

  NTFS文件系统的BPB从DBR的第12个字节开始，占用73字节，记录了有关该文件系统的重要信息，下表中的内容包含了“跳转指令”、“OEM代号”以及“BPB”的参数。

对照上表，对BPB的分析如下：

引导程序：DBR的引导程序占用426字节，其负责完成将系统文件NTLDR装入，对于没有安装系统的分区是无效的。

三、分析$MFT元文件

在NTFS文件系统中，磁盘上的所有数据都是以文件的形式存储，其中包括元文件。每个文件都有一个或多个文件记录，每个文件记录占用两个扇区，而MFT元文件就是专门记录每个文件的文件记录。由于NTFS文件系统是通过MFT元文件就是专门记录每个文件的文件记录。由于NTFS文件系统是通过MFT来确定文件在磁盘上的位置以及文件的属性，所以MFT是非常重要的，MFT是非常重要的，MFT的起始位置在DBR中有描述。MFT的文件记录在物理上是连续的，并且从0开始编号。MFT的文件记录在物理上是连续的，并且从0开始编号。MFT的前16个文件记录总是元文件的，并且顺序是固定不变的。

四、分析文件记录

1. MFT偏移地址计算

根据上面BPB的数据可以得到条件

每个MFT字节总数 = 簇大小 * 每个扇区内的字节总数


= 8 * 512 = 4096


MBR开始扇区字节总数 = MBR起始扇区 * 每个扇区内的字节总数


= 63 * 512 = 32256


MFT的开始位置的字节总数 = MBR开始扇区字节总数 + MFT的开始簇号 * 每个MFT字节总数


= 32256 + 786432 * 4096 = 3221257728


将

3221257728

转换为十六进制，即得到MFT开始位置偏移地址

C0007E00


2. 文件记录的结构

文件记录由两部分构成，一部分是文件记录头，另一部分是属性列表，最后结尾是四个“FF”。

查看文件记录格式，如下是一个完整的文件记录：

在同一系统中，文件记录头的长度和具体偏移位置的数据含义是不变的，而属性列表是可变的，其不同的属性有着不同的含义。后文将对属性进行具体分析，先来看看文件记录头的信息。

在NTFS文件系统中所有与文件相关的数据结构均被认为是属性，包括文件的内容。文件记录是一个与文件相对应的文件属性数据库，它记录了文件的所有属性。每个文件记录中都有多个属性，他们相对独立，有各自的类型和名称。每个属性都由两部分组成，既属性头和属性体。属性头的前四个字节为属性的类型。从文件记录头可以看到第一个属性流的偏移地址，（C0007E00+0038=C0007E38）如下是以10H属性为例的属性结构。

属性有


常驻


与


非常驻


之分。

当一个文件很小时，其所有属性体都可以存放在文件记录中，该属性就称为

常驻属性

。

如果某个文件很大，1KB的文件记录无法记录所有属性时，则文件系统会在MFT元文件之外的区域（也称数据流）存放该文件的其他文件记录属性，这些存放在非MFT元文件之外的区域（也称数据流）存放该文件的其他文件记录属性，这些存放在非MFT元文件内的记录就称为非常驻属性。

3. 属性的属性头分析

每个属性都有一个属性头，这个属性头包含了一些该属性的重要信息，如属性类型，属性大小，名字（并非都有）及是否为

常驻属性

等。



常驻属性


的属性头分析表：

非常驻属性


的属性头分析表：

4. 属性的属性体分析

前面说过了，属性的种类有很多，因此各属性体的含义也不同。下表是NTFS文件系统中的所有属性体的简介。

接下来来看几个重要的属性：

• 
  10H属性
  

  10H属性包含文件的一些基本信息，如文件的传统属性，文件的创建时间和最后修改时间和日期，文件的硬链接数等等。

如下是一个10H属性偏移0×20处属性体的解释：

• 
  20H属性
  

  20H类型属性既属性列表，当一个文件需要好几个文件记录时，才会用到20H属性。20H属性记录了一个文件的下一个文件记录的位置。
  
  如下是20H属性偏移0×20处属性体的解释。

• 
  30H属性
  

  30H类型属，该属性用于存储文件名 ，它总是常驻属性。最少68字节，最大578字节，可容纳最大Unicode字符的文件名长度。

• 
  80H属性
  

  80H属性是文件数据属性，该属性容纳着文件的内容，文件的大小一般指的就是未命名数据流的大小。该属性没有最大最小限制，最小情况是该属性为常驻属性。常驻属性就不做多的解释了，上面我标记的是一个非常驻的80H属性。

其中，Run List是最难理解，也是最重要的。当属性不能存放完数据，系统就会在NTFS数据区域开辟一个空间存放，这个区域是以簇为单位的。Run List就是记录这个数据区域的起始簇号和大小，一个Run List例子上所示。这个示例中，Run List的值为“32 CC 26 00 00 0C”，因为后面是00H，所以知道已经是结尾。如何解析这个Run List呢？ 第一个字节是压缩字节，高位和低位相加，3 + 2 = 5，表示这个Data Run信息占用五个字节，其中高位表示起始簇号占用多少个字节，低位表示大小占用的字节数。在这里，起始簇号占用3个字节，值为0C 00 00，大小占用2个字节，值为26 CC。解析后，得到这个数据流起始簇号为C0000，大小为9932簇。

• 
  90H属性
  

  90H属性是索引根属性，该属性是实现NTFS的B+树索引的根节点，它总是常驻属性。该属性的结构如下图：

索引根结构表：

索引头结构表：

索引项结构表：

• 
  A0H属性
  

  A0属性是索引分配属性，也是一个索引的基本结构，存储着组成索引的B+树目录索引子节点的定位信息。它总是常驻属性。如下：是一个A0H属性的实例。

根据上图A0H属性的“Run List”可以找到索引区域，偏移到索引区域所在的簇，如下图：

起始簇：18265

簇大小：3

起始扇区号 = 该分区的其实扇区 + 簇号 * 每个簇的扇区数 也就是

64 + 18265 * 8 = 146124

上面的偏移0x28，还要加上0x18 = 0×40

起始簇：18265

簇大小：3

起始扇区号 = 该分区的起始扇区 + 簇号 * 每个簇的扇区数

也就是

64 + 18265 * 8 = 146124

标准索引头的解释如下：

索引项的解释如下：

到此一些常用属性基本介绍的差不多了。

五、遍历分区文件列表的思路

1. 定位DBR，通过DBR可得到“$MFT”的起始簇号及簇大小；

2. 定位并找到“MFT”后，在其中寻找根目录的文件记录，一般在5号文件记录；

3. 在90H属性中得到B+树索引的根节点文件信息，重点在A0属性上。通过属性中的“Run List”定位到其数据流；

4. 从“Run List”定位到起始簇后，再分析索引项可以得到文件名等信息；

5. 从索引项中可以获取“MFT”的参考号；

6. 进入到“MFT”的参考号；

7. 进入到“MFT”找到对应的文件记录；

8. 然后再根据80H属性中的数据流就，可以找到文件真正的数据了。

NTFS文件系统详解系列

• 
  NTFS文件系统详解
  
• 
  NTFS文件系统详解（一）硬盘基本信息
  
• 
  NTFS文件系统详解（二）MBR\EBR基本信息
  
• 
  NTFS文件系统详解（三）NTFS元文件解析