NTFS文件系统文件删除与恢复.pdf

赵振洲 胡守国 王润华-NTFS文件系统文件删除与恢复 中图分类号 ：N39 文献标识码 ：A 文章编号：1672—9285(2010)02—0lO8—05 NTFS文件系统文件删除与恢复 赵振洲… 胡守国 王润华 【摘 要】 本文介绍了NTFS文件系统的结构，通过实验对比给出了文件删 除的特征，并对NTFS文件系统下文件删除后的恢复方法作了介绍。 【关键词】 NTFS 文件系统 删除 恢复 NTFS(NewTechnologyFileSystem)是WindowsNT操作环境和WnidowsNT高级服务器网络 操作系统环境的文件系统，是一种能够提供各种FAT版本所不具备的性能、安全性、可靠性与先进特 性的高级文件系统。NTFS通过标准事务 日志功能与恢复技术确保卷的一致性。如果系统出现故障， NTFS能够使用 日志文件与检查点信息来恢复文件系统的一致性。在Windows2000、WmdowsXP和 Wnidows2003中，NTFS还能提供诸如文件与文件夹权限、加密、磁盘配额及压缩之类的高级特性。基 于以上特点，NTFS文件系统已经成为Wnidows平台下主流的文件系统。 一 、 NTFS文件系统结构 当用户将硬盘的一个分区格式化为NTFS分区时，就建立了一个NTFS文件系统结构，图1大致描 绘了一个NTFS文件系统分区的结构。 l呈 堕 l婴 垦 l 垦J 塑 翌 l 垦J 图1NTFS文件系统总体结构 NTFS分区的DBR扇区位于BOOT区的第一个扇区，它在操作系统的引导过程中起着非常重要的 作用，如果这个扇区遭到破坏，系统将不能正常启动。DBR扇区跟FAT分区的结构类似，也包括跳转指 令、OEM版本号、BPB参数、引导代码和结束标志，如图2所示。 在NTFS文件系统的DBR扇区中，BPB参数从偏移0BH开始，到偏移 53H结束，这部分参数记录 着整个NTFS分区的许多重要信息，微软MSDN中查到的BPB参数的含义见表 1，Winhex磁盘编辑软 件给出的BPB参数如图3所示。 文件通过MFT(MasterFileTable，主文件表)来确定其在磁盘上的存储位置。主文件表是一个对应 的数据库，由一系列的文件记录组成——卷中每—个文件都有—个或多个文件记录，其中第—个文件记录 称为基本文件记录，其中存储有其他扩展文件记录的一些信息。主文件表本身也有它 自己的文件记录。 [1】赵振洲：北京政法职业学院信息技术系教师、管理学硕士。 [22]胡守国：北京政法职业学院信息技术系教师、工学学士。 3【】王润华：北京政法职业学院信息技术系教师、工学硕士。 108 2010年第2期 北京政法职业学院学报 总第 70期 NTFS使用逻辑簇号(LogicalClusterNumber，LCN)和虚拟簇号(VLrtualClusterNumber．VCN) 来对簇进行定位。LCN是对整个卷中所有的簇从头到尾所进行的简单编号。每簇扇区数乘以LCN， NTFS就能得到卷上的物理字节偏移量，从而得到物理磁盘地址。VCN则是对属于特定文件的簇从头 到尾进行编号，以便于引用文件中的数据。VCN可以映射成LCN，而不必要求在物理上连续。 MFT中的文件记录大小一般是固定的，不管簇的大小是多少，均为 1KB。其中最基本的前 l6个记 录是操作系统使用的非常重要的元数据文件。这些元数据文件的名字都以 “$”开始，是隐藏文件，不能 在 cmd使用dir命令列出。 j谚≯圣 i穗 |l■¨鬟 ： 。fI#啭 妊纛 羲德 鬻 豫 魏