第十二讲NTFS的BPB参数

LOGONTFSdeBPB参数任飞渤海大学培训学院NTFS的BPB第一个文件=$mft第二个文件=$mftmirr（镜像）第三个文件第四个文件第五个文件第六个文件第N个文件渤海大学培训学院例如：一个表格为一个扇区，每两个扇区来存储一个文件信息。同时进行管理。MFT主的文件表一个文件占用2个扇区，1K，如果文件比较小，没有1K，就会把文件记录在MFT里边在FAT32里边，不管文件有多小，都会占用一个簇，也就是32个扇区。在NTFS里边，不管文件有多小，都会把文件记录在文件记录里边。那么找到了文件记录就找到了文件本身，效率会提高很多。一个文件记录、一个扇区512字节，两个1K注：Masterfiletable$MFT元文件NTFS的结构BOOT区MFT数据区DATAMFT部分的备份数据区DATA渤海大学培训学院NTFS的每一个文件都有文件记录，一个文件记录都有两个扇区。但是在很多分区里边都有很多文件。如果进行备份会浪费很多空间。偏移（offset）长度（字节）含义00-02H3跳转指令EB529003-0AH8文件系统的ASIIC码表示形式NTFS0B-0CH2每个扇区的字节总数，一般为0002H0DH1簇大小0E-0FH2保留扇区10-12H3总为013H1不使用14-15H2介质描述，硬盘为F816-17H2总为018-19H2每磁头扇区数1A-1BH2每柱面磁头数1C-1FH4隐含扇区数（从MBR到DBR的扇区总数）20-23H4不使用24-27H4不使用，总为8000800028-2FH8扇区总数，即分区大小30-37H8$MFT的开始簇号38-3FH8$MFTmirr的开始簇号40-43H4每个MFT记录的簇数44-47H4每索引的簇数48-4FH8分区的逻辑序列号渤海大学培训学院NTFS的BPB参数渤海大学培训学院EB5290是跳转指令03~0A是文件系统的ASIIC码表示形式NTFS0B~0C是每个扇区字节总数，一般为0002H0D是簇大小0E~0F是保留扇区10~12总为013不使用14~15介质描述，硬盘为F816~17总为018~19每磁头扇区数1A~1B每柱面磁头数1C-1FH隐含扇区数（从MBR到DBR的扇区总数）1C-1F隐含扇区数（从MBR到DBR的扇区总数）20-23H不使用24-27H不使用，总为8000800028-2FH扇区总数，即分区大小30-37H$MFT的开始簇号（从哪一个簇号开始，起始簇号，看数据解释器的32位的数值就是开始簇号）38-3FH$MFTmirr的开始簇号（镜像）40-43H每个MFT记录的簇数44-47H每索引的簇数48-4FH分区的逻辑序列号渤海大学培训学院备份扇区FAT32里边备份在DBR后的第六个扇区（因为DBR备份扇区离DBR扇区比较近，所以有的时候DBR被破坏的时候，备份DBR也有可能被破坏，或者被覆盖。这样有可能修复不了）。NTFS文件系统里，DBR备份在分区最后一个扇区备份不属于分区的内容。但是在MBR区里边备份还是被认为是分区内容的。所以MBR分区里的数值和DBR里的数值不相同的。所以在DBR里提取出来的分区数一定要加个1.在写入MBR区里边。渤海大学培训学院