數(shù)據(jù)恢復(fù)技術(shù)分析NTFS分區(qū)結(jié)構(gòu)課件

分析NTFS分區(qū)結(jié)構(gòu)分析NTFS分區(qū)結(jié)構(gòu)M6-1本單元主要內(nèi)容NTFS分區(qū)結(jié)構(gòu)一主控文件表與元文件二引導(dǎo)扇區(qū)結(jié)構(gòu)三四修復(fù)引導(dǎo)扇區(qū)四M6-1本單元主要內(nèi)容NTFS分區(qū)結(jié)構(gòu)一主控文件表與元文件M6-1本單元重難點(diǎn)重點(diǎn)NTFS分區(qū)概述NTFS引導(dǎo)扇區(qū)分析恢復(fù)NTFS引導(dǎo)扇區(qū)的方法NTFS元文件介紹難點(diǎn)NTFS引導(dǎo)扇區(qū)BPB參數(shù)NTFS元文件的概念和作用M6-1本單元重難點(diǎn)重點(diǎn)一、NTFS分區(qū)結(jié)構(gòu)微軟公司自推出WindowsNT服務(wù)器操作系統(tǒng)以來(lái)，就開(kāi)發(fā)了一種與之對(duì)應(yīng)的，可靠性和安全性都很強(qiáng)的，可用于服務(wù)器操作系統(tǒng)的文件系統(tǒng)，即NTFS。它與FAT文件系統(tǒng)相比有許多優(yōu)點(diǎn)：可恢復(fù)性、安全性、保密性、數(shù)據(jù)容錯(cuò)、文件壓縮、磁盤配額管理等。一、NTFS分區(qū)結(jié)構(gòu)微軟公司自推出WindowsNT服務(wù)器一、NTFS分區(qū)結(jié)構(gòu)在NTFS分區(qū)中，引入了卷概念。卷可以看成是分區(qū)的升級(jí)版，是為了解決某些分區(qū)限制而提出的概念，卷的操作和使用和分區(qū)是一樣的。卷分為簡(jiǎn)單卷和動(dòng)態(tài)卷兩種，簡(jiǎn)單卷就是一個(gè)普通分區(qū)，而動(dòng)態(tài)卷則可以實(shí)現(xiàn)一些高級(jí)功能，比如可以將多個(gè)分區(qū)或者磁盤組織成一個(gè)卷，能夠動(dòng)態(tài)增長(zhǎng)容量等，使其可以支持服務(wù)器存儲(chǔ)所需的海量存儲(chǔ)空間。一、NTFS分區(qū)結(jié)構(gòu)在NTFS分區(qū)中，引入了卷概念。卷可以看一、NTFS分區(qū)結(jié)構(gòu)NTFS仍然使用簇來(lái)分配文件存儲(chǔ)，簇又叫卷因子，在分區(qū)中通常每個(gè)簇包含8個(gè)扇區(qū)，從0開(kāi)始編號(hào)，這個(gè)簇號(hào)叫做邏輯簇號(hào)（LCN）。在存儲(chǔ)文件的時(shí)候，NTFS采用了索引存儲(chǔ)方式：即把文件按照邏輯簇大小劃分為多個(gè)區(qū)塊，稱為虛擬簇（VCN），在主控文件表中有一張索引表，記錄了VCN和LCN的對(duì)應(yīng)關(guān)系，因此可以快速地訪問(wèn)文件任意一個(gè)部分的內(nèi)容，而且簇到扇區(qū)的轉(zhuǎn)換也非常簡(jiǎn)單。VCN123456LCN101102106107108221一、NTFS分區(qū)結(jié)構(gòu)NTFS仍然使用簇來(lái)分配文件存儲(chǔ)，簇又叫一、NTFS分區(qū)結(jié)構(gòu)NTFS分區(qū)不再設(shè)管理控制區(qū)域，分區(qū)的0扇區(qū)便是0簇，全部空間都是數(shù)據(jù)區(qū)域。分區(qū)中承擔(dān)管理控制信息的數(shù)據(jù)塊被組織成文件，靈活地存放在任意一個(gè)位置。只有BOOT區(qū)域比較特殊，由于0扇區(qū)仍是引導(dǎo)扇區(qū)，因此BOOT區(qū)域始終位于分區(qū)前端。一、NTFS分區(qū)結(jié)構(gòu)NTFS分區(qū)不再設(shè)管理控制區(qū)域，分區(qū)的0二、主控文件表與元文件在NTFS分區(qū)中，最重要的就是主控文件表（MFT），它記載了所有文件的屬性信息，甚至包括數(shù)據(jù)，有點(diǎn)類似于FAT分區(qū)的文件目錄表。為了防止遭到破壞，NTFS分區(qū)將MFT的位置移到了分區(qū)的中間，并在引導(dǎo)扇區(qū)中給出了它的簇號(hào)。我們?cè)诨謴?fù)數(shù)據(jù)的時(shí)候，就是依靠MFT來(lái)完成的。二、主控文件表與元文件在NTFS分區(qū)中，最重要的就是主控文件二、主控文件表與元文件在NTFS中承擔(dān)管理控制信息的數(shù)據(jù)稱為元數(shù)據(jù)，用于記載文件屬性信息、簇分配信息、以及加密、配額、日志等。這些元數(shù)據(jù)分別被組織成文件，稱為元文件。前面所提到的BOOT區(qū)域和MFT區(qū)域，也分別被組織為兩個(gè)重要的元文件：$Boot和$MFT。NTFS中有16個(gè)元文件，每個(gè)元文件都以美元符號(hào)起頭，以標(biāo)示其特殊身份。這些元文件記錄了分區(qū)底層的結(jié)構(gòu)信息，因此非常特殊而重要，被系統(tǒng)保護(hù)起來(lái)，用戶和應(yīng)用程序不能訪問(wèn)它們。二、主控文件表與元文件在NTFS中承擔(dān)管理控制信息的數(shù)據(jù)稱為二、主控文件表與元文件編號(hào)元數(shù)據(jù)文件功能或內(nèi)容0$MFT主控文件表本身1$MFTMirr主控文件表的部分備份（通常為前4項(xiàng)）2$LogFile日志文件，實(shí)現(xiàn)了NTFS的可恢復(fù)性和安全性3$Volume卷文件，標(biāo)識(shí)卷名，是否格式化，是否需要修復(fù)等信息4$AttrDef屬性定義列表文件5$Root根目錄，存放目錄和文件的索引，表示文件的邏輯層次關(guān)系6$Bitmap位圖元文件，記錄了卷中簇的分配情況7$Boot引導(dǎo)元文件，恒為0簇起始8$BadClus壞簇列表元文件9$Secure安全元文件，存儲(chǔ)訪問(wèn)控制表（在NTFS4及以前為磁盤配額信息）10$UpCase大小寫字符轉(zhuǎn)換表元文件11$ExtMD擴(kuò)展元數(shù)據(jù)目錄（Extendedmetadatadirectory）12~15$Extended\擴(kuò)展元數(shù)據(jù)，分別為重解析點(diǎn)、加密日志、配額管理、對(duì)象ID16~23為以后擴(kuò)展而保留24~?用戶文件和目錄的記錄編號(hào)二、主控文件表與元文件編號(hào)元數(shù)據(jù)文件功能或內(nèi)容0$MFT主控三、引導(dǎo)扇區(qū)結(jié)構(gòu)NTFS分區(qū)的0扇區(qū)是引導(dǎo)扇區(qū)，也叫DBR扇區(qū)，它和后面的15個(gè)扇區(qū)（NTLDR區(qū)域）合起來(lái)構(gòu)成BOOT區(qū)域，也就是$Boot元文件。$Boot元文件恒定從0簇起始，占16個(gè)扇區(qū)。NTFS分區(qū)的引導(dǎo)扇區(qū)同F(xiàn)AT分區(qū)的引導(dǎo)扇區(qū)在結(jié)構(gòu)上非常相似，同樣包含BPB，DBR和結(jié)束標(biāo)志三個(gè)部分，只是在BPB參數(shù)上有部分不同。由于所有的結(jié)構(gòu)信息都以元文件方式組織，因此在BPB中只包含幾個(gè)重要的參數(shù)。三、引導(dǎo)扇區(qū)結(jié)構(gòu)NTFS分區(qū)的0扇區(qū)是引導(dǎo)扇區(qū)，也叫DBR扇三、引導(dǎo)扇區(qū)結(jié)構(gòu)NTFS的BPBNTFS的DBR三、引導(dǎo)扇區(qū)結(jié)構(gòu)NTFS的BPBNTFS的DBR三、引導(dǎo)扇區(qū)結(jié)構(gòu)偏移長(zhǎng)度描述00H3B跳轉(zhuǎn)指令（EBH52H90H），跳至54H處DBR部分03H8B文件系統(tǒng)和版本的OEM標(biāo)志（NTFS）0BH2B每扇區(qū)字節(jié)數(shù)（通常為200H）0DH1B每簇扇區(qū)數(shù)（值為2的N次方，通常為8）15H1B介質(zhì)描述，恒為F818H2B每磁道扇區(qū)數(shù)（通常為3FH，63）1AH2B磁頭數(shù)（通常為FFH，255）1CH4B隱含扇區(qū)數(shù)（本分區(qū)前的扇區(qū)總數(shù)，也就是本分區(qū)的起始邏輯扇區(qū)號(hào)）24H4BNTFS未使用，總為80H00H80H00H28H8B扇區(qū)總數(shù)30H8B$MFT的起始邏輯簇號(hào)38H8B$MFTMirr的起始邏輯簇號(hào)40H4B每MFT記錄簇?cái)?shù)44H4B每索引簇?cái)?shù)48H8B分區(qū)的邏輯序列號(hào)，格式化的時(shí)候隨機(jī)產(chǎn)生50H4B校驗(yàn)和三、引導(dǎo)扇區(qū)結(jié)構(gòu)偏移長(zhǎng)度描述00H3B跳轉(zhuǎn)指令（EBH三、引導(dǎo)扇區(qū)結(jié)構(gòu)演示對(duì)NTFS分區(qū)引導(dǎo)扇區(qū)的BPB的分析過(guò)程。準(zhǔn)備好NTFS分區(qū)的演示環(huán)境，如虛擬機(jī)、Winhex等。分析引導(dǎo)扇區(qū)BPB參數(shù)。指出重要的參數(shù)信息如$MFT簇號(hào)。三、引導(dǎo)扇區(qū)結(jié)構(gòu)演示對(duì)NTFS分區(qū)引導(dǎo)扇區(qū)的BPB的分析過(guò)程四、修復(fù)引導(dǎo)扇區(qū)NTFS的引導(dǎo)扇區(qū)如果遭到破壞，同樣可以使用備份的引導(dǎo)扇區(qū)記錄來(lái)恢復(fù)，只是NTFS的備份引導(dǎo)扇區(qū)存于分區(qū)末尾處，這樣對(duì)于普通的破壞攻擊有較好的保護(hù)作用。它存放的形式很巧妙：假設(shè)在分區(qū)表中標(biāo)識(shí)了該分區(qū)大小為N，則在格式化為NTFS分區(qū)的時(shí)候，在引導(dǎo)扇區(qū)的BPB里面給出本分區(qū)占用扇區(qū)數(shù)為N-1，這樣在分區(qū)表容量和分區(qū)內(nèi)標(biāo)注的容量間就有1個(gè)扇區(qū)的空隙，這個(gè)扇區(qū)既不會(huì)被本分區(qū)操作訪問(wèn)到，也不會(huì)被分區(qū)工具破壞。四、修復(fù)引導(dǎo)扇區(qū)NTFS的引導(dǎo)扇區(qū)如果遭到破壞，同樣可以使用四、修復(fù)引導(dǎo)扇區(qū)演示使用備份的引導(dǎo)扇區(qū)實(shí)現(xiàn)對(duì)NTFS分區(qū)的引導(dǎo)扇區(qū)的恢復(fù)。在NTFS分區(qū)中定位某個(gè)NTFS分區(qū)的備份引導(dǎo)扇區(qū)。修復(fù)引導(dǎo)扇區(qū)。檢查修復(fù)工作是否正常。四、修復(fù)引導(dǎo)扇區(qū)演示使用備份的引導(dǎo)扇區(qū)實(shí)現(xiàn)對(duì)NTFS分區(qū)的引總結(jié)1.NTFS分區(qū)結(jié)構(gòu)與特點(diǎn)。2.MFT和元文件的概念。3.使用備份扇區(qū)修復(fù)引導(dǎo)扇區(qū)。總結(jié)1.NTFS分區(qū)結(jié)構(gòu)與特點(diǎn)。作業(yè)請(qǐng)?jiān)谧约旱挠?jì)算機(jī)（或虛擬機(jī)）上選擇一個(gè)NTFS分區(qū)，找到它的備份引導(dǎo)扇區(qū)位置，然后將其復(fù)制到引導(dǎo)扇區(qū)位置。作業(yè)請(qǐng)?jiān)谧约旱挠?jì)算機(jī)（或虛擬機(jī)）上選擇一個(gè)NTFS分區(qū)，找到分析NTFS分區(qū)結(jié)構(gòu)分析NTFS分區(qū)結(jié)構(gòu)M6-1本單元主要內(nèi)容NTFS分區(qū)結(jié)構(gòu)一主控文件表與元文件二引導(dǎo)扇區(qū)結(jié)構(gòu)三四修復(fù)引導(dǎo)扇區(qū)四M6-1本單元主要內(nèi)容NTFS分區(qū)結(jié)構(gòu)一主控文件表與元文件M6-1本單元重難點(diǎn)重點(diǎn)NTFS分區(qū)概述NTFS引導(dǎo)扇區(qū)分析恢復(fù)NTFS引導(dǎo)扇區(qū)的方法NTFS元文件介紹難點(diǎn)NTFS引導(dǎo)扇區(qū)BPB參數(shù)NTFS元文件的概念和作用M6-1本單元重難點(diǎn)重點(diǎn)一、NTFS分區(qū)結(jié)構(gòu)微軟公司自推出WindowsNT服務(wù)器操作系統(tǒng)以來(lái)，就開(kāi)發(fā)了一種與之對(duì)應(yīng)的，可靠性和安全性都很強(qiáng)的，可用于服務(wù)器操作系統(tǒng)的文件系統(tǒng)，即NTFS。它與FAT文件系統(tǒng)相比有許多優(yōu)點(diǎn)：可恢復(fù)性、安全性、保密性、數(shù)據(jù)容錯(cuò)、文件壓縮、磁盤配額管理等。一、NTFS分區(qū)結(jié)構(gòu)微軟公司自推出WindowsNT服務(wù)器一、NTFS分區(qū)結(jié)構(gòu)在NTFS分區(qū)中，引入了卷概念。卷可以看成是分區(qū)的升級(jí)版，是為了解決某些分區(qū)限制而提出的概念，卷的操作和使用和分區(qū)是一樣的。卷分為簡(jiǎn)單卷和動(dòng)態(tài)卷兩種，簡(jiǎn)單卷就是一個(gè)普通分區(qū)，而動(dòng)態(tài)卷則可以實(shí)現(xiàn)一些高級(jí)功能，比如可以將多個(gè)分區(qū)或者磁盤組織成一個(gè)卷，能夠動(dòng)態(tài)增長(zhǎng)容量等，使其可以支持服務(wù)器存儲(chǔ)所需的海量存儲(chǔ)空間。一、NTFS分區(qū)結(jié)構(gòu)在NTFS分區(qū)中，引入了卷概念。卷可以看一、NTFS分區(qū)結(jié)構(gòu)NTFS仍然使用簇來(lái)分配文件存儲(chǔ)，簇又叫卷因子，在分區(qū)中通常每個(gè)簇包含8個(gè)扇區(qū)，從0開(kāi)始編號(hào)，這個(gè)簇號(hào)叫做邏輯簇號(hào)（LCN）。在存儲(chǔ)文件的時(shí)候，NTFS采用了索引存儲(chǔ)方式：即把文件按照邏輯簇大小劃分為多個(gè)區(qū)塊，稱為虛擬簇（VCN），在主控文件表中有一張索引表，記錄了VCN和LCN的對(duì)應(yīng)關(guān)系，因此可以快速地訪問(wèn)文件任意一個(gè)部分的內(nèi)容，而且簇到扇區(qū)的轉(zhuǎn)換也非常簡(jiǎn)單。VCN123456LCN101102106107108221一、NTFS分區(qū)結(jié)構(gòu)NTFS仍然使用簇來(lái)分配文件存儲(chǔ)，簇又叫一、NTFS分區(qū)結(jié)構(gòu)NTFS分區(qū)不再設(shè)管理控制區(qū)域，分區(qū)的0扇區(qū)便是0簇，全部空間都是數(shù)據(jù)區(qū)域。分區(qū)中承擔(dān)管理控制信息的數(shù)據(jù)塊被組織成文件，靈活地存放在任意一個(gè)位置。只有BOOT區(qū)域比較特殊，由于0扇區(qū)仍是引導(dǎo)扇區(qū)，因此BOOT區(qū)域始終位于分區(qū)前端。一、NTFS分區(qū)結(jié)構(gòu)NTFS分區(qū)不再設(shè)管理控制區(qū)域，分區(qū)的0二、主控文件表與元文件在NTFS分區(qū)中，最重要的就是主控文件表（MFT），它記載了所有文件的屬性信息，甚至包括數(shù)據(jù)，有點(diǎn)類似于FAT分區(qū)的文件目錄表。為了防止遭到破壞，NTFS分區(qū)將MFT的位置移到了分區(qū)的中間，并在引導(dǎo)扇區(qū)中給出了它的簇號(hào)。我們?cè)诨謴?fù)數(shù)據(jù)的時(shí)候，就是依靠MFT來(lái)完成的。二、主控文件表與元文件在NTFS分區(qū)中，最重要的就是主控文件二、主控文件表與元文件在NTFS中承擔(dān)管理控制信息的數(shù)據(jù)稱為元數(shù)據(jù)，用于記載文件屬性信息、簇分配信息、以及加密、配額、日志等。這些元數(shù)據(jù)分別被組織成文件，稱為元文件。前面所提到的BOOT區(qū)域和MFT區(qū)域，也分別被組織為兩個(gè)重要的元文件：$Boot和$MFT。NTFS中有16個(gè)元文件，每個(gè)元文件都以美元符號(hào)起頭，以標(biāo)示其特殊身份。這些元文件記錄了分區(qū)底層的結(jié)構(gòu)信息，因此非常特殊而重要，被系統(tǒng)保護(hù)起來(lái)，用戶和應(yīng)用程序不能訪問(wèn)它們。二、主控文件表與元文件在NTFS中承擔(dān)管理控制信息的數(shù)據(jù)稱為二、主控文件表與元文件編號(hào)元數(shù)據(jù)文件功能或內(nèi)容0$MFT主控文件表本身1$MFTMirr主控文件表的部分備份（通常為前4項(xiàng)）2$LogFile日志文件，實(shí)現(xiàn)了NTFS的可恢復(fù)性和安全性3$Volume卷文件，標(biāo)識(shí)卷名，是否格式化，是否需要修復(fù)等信息4$AttrDef屬性定義列表文件5$Root根目錄，存放目錄和文件的索引，表示文件的邏輯層次關(guān)系6$Bitmap位圖元文件，記錄了卷中簇的分配情況7$Boot引導(dǎo)元文件，恒為0簇起始8$BadClus壞簇列表元文件9$Secure安全元文件，存儲(chǔ)訪問(wèn)控制表（在NTFS4及以前為磁盤配額信息）10$UpCase大小寫字符轉(zhuǎn)換表元文件11$ExtMD擴(kuò)展元數(shù)據(jù)目錄（Extendedmetadatadirectory）12~15$Extended\擴(kuò)展元數(shù)據(jù)，分別為重解析點(diǎn)、加密日志、配額管理、對(duì)象ID16~23為以后擴(kuò)展而保留24~?用戶文件和目錄的記錄編號(hào)二、主控文件表與元文件編號(hào)元數(shù)據(jù)文件功能或內(nèi)容0$MFT主控三、引導(dǎo)扇區(qū)結(jié)構(gòu)NTFS分區(qū)的0扇區(qū)是引導(dǎo)扇區(qū)，也叫DBR扇區(qū)，它和后面的15個(gè)扇區(qū)（NTLDR區(qū)域）合起來(lái)構(gòu)成BOOT區(qū)域，也就是$Boot元文件。$Boot元文件恒定從0簇起始，占16個(gè)扇區(qū)。NTFS分區(qū)的引導(dǎo)扇區(qū)同F(xiàn)AT分區(qū)的引導(dǎo)扇區(qū)在結(jié)構(gòu)上非常相似，同樣包含BPB，DBR和結(jié)束標(biāo)志三個(gè)部分，只是在BPB參數(shù)上有部分不同。由于所有的結(jié)構(gòu)信息都以元文件方式組織，因此在BPB中只包含幾個(gè)重要的參數(shù)。三、引導(dǎo)扇區(qū)結(jié)構(gòu)NTFS分區(qū)的0扇區(qū)是引導(dǎo)扇區(qū)，也叫DBR扇三、引導(dǎo)扇區(qū)結(jié)構(gòu)NTFS的BPBNTFS的DBR三、引導(dǎo)扇區(qū)結(jié)構(gòu)NTFS的BPBNTFS的DBR三、引導(dǎo)扇區(qū)結(jié)構(gòu)偏移長(zhǎng)度描述00H3B跳轉(zhuǎn)指令（EBH52H90H），跳至54H處DBR部分03H8B文件系統(tǒng)和版本的OEM標(biāo)志（NTFS）0BH2B每扇區(qū)字節(jié)數(shù)（通常為200H）0DH1B每簇扇區(qū)數(shù)（值為2的N次方，通常為8）15H1B介質(zhì)描述，恒為F818H2B每磁道扇區(qū)數(shù)（通常為3FH，63）1AH2B磁頭數(shù)（通常為FFH，255）1CH4B隱含扇區(qū)數(shù)（本分區(qū)前的扇區(qū)總數(shù)，也就是本分區(qū)的起始邏輯扇區(qū)號(hào)）24H4BNTFS未使用，總為80H00H80H00H28H8B扇區(qū)總數(shù)30H8B$MFT的起始邏輯簇號(hào)38H8B$MFTMirr的起始邏輯簇號(hào)40H4B每MFT記錄簇?cái)?shù)44H4B每索引簇?cái)?shù)48H8B分區(qū)的邏輯序列號(hào)，格式化的時(shí)候隨機(jī)產(chǎn)生50H4B校驗(yàn)和三、引導(dǎo)扇區(qū)結(jié)構(gòu)偏移長(zhǎng)度描