磁盘数据结构笔记Word格式.docx

1、在MBR里放不多于三个主分区（通常一个），剩下的分区则由EBR扩展分区引导记录（与MBR结构相像的分区结构）里说明。一个EBR不够用时，可以增加另一个EBR，如此像一根根链条一样地接下去。5、 DBR（DOS Boot Record），就是每个逻辑盘的最前的一个扇区里，用于引导和加载相应文件管理系统的一些系统代码。也称作操作系统引导扇区（OBR）MBR：主引导记录（CHS：0柱0磁头1扇区） 00 01 02 03 04 05 06 07 08 09 A B C D E FEB5E00023FFF8046420107FE55AA分区表：扇区倒数第五行，倒数第二个字节开始，64个字节 ：引导代码

2、446字节（白字为PE启动标志） ：分区表64个字节 ：结束标志55AA12分区引导标志起始磁头号345678910111213141516扇区柱面号分区类型符结束本分区之前使用的扇区数本分区的总扇区数引导标志：80H表示活动分区；00H表示非活动分区。分区类型符：00H表示该分区未用；06HFAT16基本分区；05H扩展分区；0FH（LBA模式）扩展分区07HNTFS分区；83HLinux分区；0BHFAT32基本分区； 0CH（LBA模式）FAT32分区扇区数：要倒过来计算（如分区表上3F 00 00 00，实际计算时为00 00 00 3F，转换成10进制63） FAT32分区结构隐藏扇

3、区（不在分区总数内）保留扇区（DBR中0E-0F字节）FAT1FAT2根目录FDT数据区其他DBR1-5扇区DBR副本其余DBR 24-27字节紧跟着 FAT2物理0扇区逻辑0扇区逻辑6扇区FAT32以“F8FFFF0F”开始，可搜索计算保留扇区及FAT扇区数可通过搜索根目录下文件或文件夹名， 字符选ASCII/Code pageABCDEF5890OEMID每扇区字节数每簇扇区数保留扇区FAT数根目录项数小扇区数介质F8总为0每磁道扇区数磁头数当前分区前面的隐含扇区20分区大小扇区数每FAT扇区数扩展标志系统版本根目录在DATA区起始簇号30DBR备份扇区保留40标签分区序号卷标50FAT3

4、2引导程序开始1F0JUMP指令及OEMID： BPB（BIOS Parameter Block ，BIOS参数块）：引导程序 ：Magic Number（结束标志字）重建FAT32的DBR需要这么几个参数:保留扇区数、FAT表个数（通常为2）、每FAT扇区数、根目录簇号（通常为2号簇）、每簇扇区数、分区前隐含扇区数及分区大小扇区数（这两项可在该分区的分区表项中找到）步骤1.通过搜索位于扇区偏移0字节处的F8FFFF寻找FAT表.进而确定文件系统类型（FAT16/32）.步骤2.寻找根目录,来计算出FAT的大小（FAT1被破坏可用此方法）.及保留扇区数.步骤3.计算簇大小.利用两个子目录的起始

5、扇区号差和他们的簇号差.就可以得到簇的大小. 每簇扇区数=（分区大小扇区数-保留扇区-FAT扇区数FAT表数）/（FAT扇区数512字节/4）步骤4.从分区表项得到隐含扇区数与分区大小.文件系统扇区：DBR后面一个扇区5261411E072空闲簇数下一个空闲簇簇号FAT表项：F8F02号FAT项3号FAT项4号FAT项6号FAT项7号FAT项1、 FAT表项由4个字节构成，从0开始编号，每个表项映射1个簇（编号即是簇号），0号1号表项系统占用，用户数据从2号表项开始；2、 如果文件占用多个簇，则第一个表项记录下一个表项的编号（即簇号），若文件结束了“0FFFFFFF”表示，“00000000”

6、表示对应簇未使用；3、 定位FAT:MBR分区表得到分区的起始扇区；分区的DBR的BPB参数得到保留扇区（偏移0E-0F）、FAT表个数（偏移10）、FAT表大小（偏移24-27）；FAT1=分区起始扇区+DBR保留扇区，FAT2=FAT1+FAT表大小4、 也可搜索0号表项值“F8FFFF0F”定位FAT扇区数据区：由根目录+子目录+文件内容5、 数据区以簇为单位存储，根目录一般在2号簇，定位根目录=数据区起始扇区+每簇扇区数*26、 根目录下的文件和目录都放在根目录区中，子目录下的文件和目录都放在子目录区中；7、 目录项分四类：卷标目录项，“.”和“.”目录项，短文件目录项（8.3格式），

7、长文件目录项8、 每个目录项占32个字节，记录着一个目录或文件（也可能多个目录项记录一个文件或目录）；文件主名扩展名属性创建时分秒创建年月日访问年月日起始簇号 高位修改时分秒修改年月日起始簇号 低位文件大小（字节） 时分秒和年月日的算法：十进制值=时十进制值=分十进制值*2=秒十进制值+1980=年十进制值=月十进制值=日文件属性字节：00-读写 01-只读 02-隐藏 04-系统 08-卷标 10-子目录 20-存档NTFS分区结构（不在扇区总数内）元文件$BOOT元文件$MFTMirr 根目录元文件$FMT剩余扇区备份DBR启动代码$MFT备份，仅4条MFT记录INDX所有文件FMT记录,

8、FMT占2扇区BOOT占2簇XP：NTLDRWin7:bootmgr占1簇4E5453NTFS未使用为0隐含扇区数空分区扇区总数$MFT的起始簇号（LCN）$MFT Mirr的起始簇号（LCN）每MFT记录的大小（簇数）每索引的大小（簇数）检验和重建NTFS的DBR需要的参数:簇大小、隐含扇区数、分区扇区数、$MFT起始簇号、$MFTMirr起始簇号步骤1.通过搜索$MFTMirr，利用80属性的起始VCN及分配大小来计算出簇大小（每簇的扇区数=$MFT分配大小所占簇数512）步骤2.通过分区表得到隐含扇区数.分区大小（MBR表分区大小=DBR分区大小+1）步骤3.通过$MFTMirr中的$M

9、FT.Run list得出$MFT的起始簇号步骤4.通过$MFTMirr中的$MFTMirr.Run list得出$MFTMirr的起始簇号步骤5.如果分区表破坏，可以通过查找元文件$Bitmap,根据$Bitmap所占空间计算总扇区数（NTFS分区所占扇区=$Bitmap文件大小8位/字节每簇扇区数）；通过$MFTMirr所在扇区、对应簇号，计算出DBR（逻辑0簇）所在扇区（也就是隐藏扇区数）。关于MFT的重点概念：1、 NTFS文件系统用文件来记录所有信息，文件由属性组成，对应一条MFT记录（文件记录块），一个文件记录块固定大小为1K，占两个扇区；所有文件的MFT记录都有一个文件来管理（就

10、是$MFT），也就是0号MFT记录所指向的文件。2、 元数据文件：记录一些非常重要的文件系统数据，包括用于文件定位和恢复的数据结构、引导程序数据以及整个卷的分配位图等信息。元文件不能直接访问的，MFT将开头的16个文件记录块保留用于这些元数据文件。3、 每个文件都有一条MFT记录，MFT记录由记录头和属性组成，一个文件可以有多个属性（属性头+属性），属性分常驻属性（Resident Attr）和非常驻属性（NoResident Attr）；当文件的属性内容700字节时，使用非常驻属性，将属性内容外挂到磁盘的其他位置，这些位置由数据运行runs片来描述。4、 不同属性相同的地方在于属性头，即要么

11、常驻属性头要么非常驻属性头，不同属性的属性内容各不相同，在磁盘上的分布结构也不同，作用也不同。MFT记录头FILE更新序列号偏移固定列表大小日志文件序列号LSN序列号SN硬连接数第一个属性偏移标志字节文件记录实时大小（字节）文件记录分配大小（字节）基本文件记录中的文件索引号下一个自由ID00 00本MFT记录号边界MFT的使用标记MFT 30文件属性（属性头+属性体，6.5行）属性长度（包含本头部）属性标志属性名长度属性名偏移标志属性ID标志属性体大小属性头大小索引父目录记录号序列号文件创建时间文件修改时间MFT更改时间最后一次访问时间文件分配大小文件实际大小文件标志用于EAS和重解析60文件

12、名长度命名空间以Unicode方式标识的文件名MFT 80数据流属性（目录的话A0）80H属性 $DATA 容纳文件数据（未命名数据流），文件的大小一般指是未命名数据流的大小，没有长度限制，当它为常驻时，数据长度最小。它的结构为属性头加上数据流，如果数据流太大，则标记为非常驻，以运行的方式索引到外部。例如找一个MP3文件，从它的MFT项中0x80属性中可以看到它一定是非常驻，它的运行所指向的一系列簇就是音乐文件数据流簇流的起始虚拟簇号（VCN）总从0开始簇流的结束虚拟簇号（VCN）簇流列表的偏移压缩单位大小为属性内容分配的空间大小字节数属性内容实际占用的大小字节数属性内容初始大小字节数簇流列表

13、（run list）属性标志：00-长驻属性 01-非常驻属性标志（0C-0D）：0001-压缩文件 4000-加密文件 8000-系统文件偏移：相对于本属性头簇流列表31 40 00 96 01：31后面字节0x 40是簇流片段占用的簇数，后面3个字节0X019600是相对起始簇号MFT结束标志：FFFFFF 索引记录结构INX更新序号偏移更新序号的大小与排列该索引缓冲在索引分配中的索引VCN索引入口的偏移（相对于0x18）索引入口的大小（相对于0x18）索引入口的分配大小（相对于0x18）更新序列号更新序列排列（2S-2字节）exFAT分区结构（不在分区扇区总数内）FAT数据区（簇单位）其

14、他隐藏扇区DBR 24-27字节计算FAT扇区数（长度）位图文件大写转换表分区表或DBR 40-47字节逻辑0-11扇区12-23扇区搜索偏移0 “F8FFFF0F”确定FAT表起始扇区；搜索“FFFF”确定起始位置，2号簇搜索“00000100”，固定5836B，占1簇紧接大写转换表文件，一般5号簇 逻辑0-11扇区：0 引导扇区，1-8 扩展引导扇区，9 OEM信息记录，10 保留，11 引导校验扇区；备份12-23扇区对应0-11扇区。76OEM ID隐藏扇区数FAT起始扇区号FAT扇区数首簇起始扇区号分区总簇数根目录起始簇号卷ID文件系统版本卷标志介质描述70己用比例引导代码开始0.每

15、扇区字节数：假设此处值为N，则扇区大小字节数为2的N次方，通常91.隐藏扇区数：可以从分区表中查看，如果分区表破坏请按重建分区表操作2.扇区总数：可以从分区表查看3.FAT起始扇区数：通过搜索FAT表的头标志“F8FFFF0F”所在扇区-分区开始扇区号（相对于DBR，不包含隐藏扇区）4.首簇起始扇区号：虽然只有一个FAT，但该处值并不一定等于FAT表起始扇区+FAT大小扇区数，FAT表分配的空间与簇起始扇区之间可能会有未使用的扇区；簇位图文件一般占用数据区的第一个簇，所以首簇起始扇区号的计算通过找簇位图文件的开始位置，搜索“FFFF”找到簇位图文件的起始扇区-分区开始扇区5.每簇扇区数：假设此

16、处为N，则簇大小为2的N次方簇。位图文件之后就是大写转换表文件，大写转换表文件的内容是固定的，前4个字节是“00000100”，通过搜索这4个字节就能找到大写转换表文件的开始扇区，与簇位图文件起始扇区相减得到簇位图文件大小，再通过分析FAT表可知簇位图文件占用簇的个数，相除可得到每簇扇区数6.根目录起始簇号：簇位图文件总是开始于数据区的2号簇，通过分析FAT表可知簇位图文件占用簇的个数，簇位图文件之后是大写转换表文件，固定5836个字节，结合每簇扇区数可知大写转换表文件占用的簇的个数，而大写转换表文件之后就是根目录的开始7.分区总簇数：前面已经知道首簇起始扇区号，每簇扇区数；用数据区的总扇区数除以每簇扇区数，就是分区的总簇数了8.FAT扇区数：用分区的总簇数来计算FAT扇区数。（分区总簇数+2）*4/512 （取大于这个值的簇大小的整数倍，簇位图前保留0号、1号簇）