NTFS文件系统分析
2019-01-05 13:44:18
Mark
120
$MFT元文件80属性Data Runs分析
从下图的NTFS DBR可以得出$MFT的起始位置位于本分区的786432*8=6291456
跳转到6291456扇区,可以看到这是$MFT的起始扇区;
查看80属性的data runs,
可以看到这个$MFT分为多段存储,第一段起始簇号为786432,即786432*8=6291456扇区,第二段始簇号为786432+46505008=47291440,即(786432+46505008)*8=378331520扇区,第三段始簇号为786432+46505008+20260353=67551793,即(786432+46505008+20260353)*8=540414344扇区。