NTFS文件系统分析

2019-01-05 13:44:18 Mark 32

$MFT元文件80属性Data Runs分析


从下图的NTFS DBR可以得出$MFT的起始位置位于本分区的786432*8=6291456NTFS_DBR
Boot Sector NTFS

跳转到6291456扇区,可以看到这是$MFT的起始扇区;

$MFT

查看80属性的data runs,

NTFS Data Runs

可以看到这个$MFT分为多段存储,第一段起始簇号为786432,即786432*8=6291456扇区,第二段始簇号为786432+46505008=47291440,即(786432+46505008)*8=378331520扇区,第三段始簇号为786432+46505008+20260353=67551793,即(786432+46505008+20260353)*8=540414344扇区。