第22讲-NTFS文件系统数据恢复

项目四：文件系统数据恢复任务4NTFS文件系统数据恢复主讲人

高灵霞、廖艳CONTENT目录课前学情用户文件属性分析0102总结与拓展教学内容04工单-提取用户文件数据03教学目标>项目四

文件系统数据恢复任务4NTFS文件系统数据恢复素质目标知识目标能力目标1.通过用户文件80属性分析，培养学生良好的职业道德教育2.通过用户文件数据的提取，培养学生能立足专业，使学生遵守数据恢复工程师职业操守和注意事项1.学生掌握用户文件记录项的搜索判断方法2.学生掌握常见属性10H、30H、80H的分析方法3.学生掌握非常驻属性分析、索引运行项分析方法4.学生掌握提取文件数据的方法1.学生能够搜索NTFS分区中用户文件的文件记录项，并进行判断分析。2.学生能够分析80H的非常驻属性，索引运行项，分析文件存放结构。3.学生能读取用户文件数据组成新文件。思政点：自立（立足专业，奋发有为）教学重点与难点

教学重点1.分析主控文件表结构，属性头结构，区分常驻属性和非常驻属性2.基本文件属性30H属性内容，80H常驻属性内容>

教学难点

属性头结构和属性内容结构课前学情01学情分析信安2004班---项目四

任务3NTFS文件系统结构分析课堂活动：1.NTFS分区结构2.MFT（主控文件表）是由若干文件记录项组成，每个记录项固定占（）空间。3.文件记录项总体两部分组成（）和（属性列表），属性结束标志（）4.文件记录头的签名明文是（），记录头中文件标志（）表示删除的文件。5.大多数用户文件都有（）（）（）属性。课堂活动：主控文件表结构文件记录头10H属性结束标志80H属性B0H属性30H属性任务引入

NTFS文件系统中，$MFT文件中存放了卷中所有的文件属性信息，它是恢复数据的重要文件。我们如何定位用户文件的记录项，分析文件属性、文件名、日期及簇的分配，提取文件中的数据。这是学习NTFS数据恢复的一个非常重要的过程。要求：读取以下文件数据组成新文件，判断是否与原文件内容一致。任务分析MFT主控文件表中存放了文件的记录项，记录项由记录头和属性列表组成。

记录头中的偏移位置16H-17H记录文件标志，00表示删除文件，01表示使用文件。

属性中10H记录文件基本信息属性，30H记录文件名属性，80H记录文件数据属性。通过文件名属性定位文件的记录项，80H属性读取并分析文件数据属性，是学习NTFS数据恢复的重要基础技能。1.用户文件记录项的查找？2.80属性分析？用户文件属性分析02一、查找用户文件记录项第1步：知道用户文件名，30H属性内容中存放文件名的16位的Unicode字符编码。每个字符占2个字节。第2步：将文件名存放在记事本中，另存为Unicode编码文件，使用Winhex工具打开该文件，复制文件名对应的Unicode编码的16进制数值。一、查找用户文件记录项第3步：定位到$MFT文件的起始扇区，搜索文件名对应的文件记录项，判断文件记录项的文件标志是否（01）使用文件，30H中文件父目录编号，验证文件目录项是否正确。二、分析文件记录项组成提问1：文件记录项由记录项头和哪些属性组成？提问2：记录头中签名，第1个属性位置，文件标志，MFT文件记录项编号？提问3：属性列表的结束标志？每个属性的头4个字节表示属性类型，接下来的4个字节表示本属性大小。MFT中的各属性的大小均以8字节为边界。每个属性又分为属性头和属性内容两部分，属性头给出了该属性的结构信息。有的属性内容存储在记录项中（如文件名），称为常驻属性。有的属性内容很大，需要在MFT外另外开辟空间存储（如文件数据），则称为非常驻属性。10H和30H都总是常驻属性。三、巩固30H属性三、巩固30H属性–常驻属性

（属性头占18H）偏移大小含义00H4B属性类型04H4B属性大小（包括属性头和属性内容）08H1B是否常驻（00＝常驻；01＝非常驻）09H1B属性名长度（0表示无属性名，非0表示属性名的字符个数）0AH2B属性名的起始偏移（如果有的话），通常为18H0CH2B压缩（0001H）、加密（4000H）、稀疏(8000H)标志0EH2B属性ID10H4B属性内容的长度14H2B属性内容的起始偏移（如果没有属性名，则为18H）16H1B索引标志17H1B无意义，通常为018H-该属性的内容，或属性名（如果有属性名的话）三、巩固30H属性偏移大小含义～～属性头00H8B父目录的文件参考号（MFT头的记录编号，偏移2CH）08H8B文件创建时间10H8B文件修改时间18H8BMFT修改时间20H8B文件最后访问时间28H8B文件分配大小30H8B文件实际大小38H4B标志（传统文件属性）3CH4B$EA（扩充属性）使用的空间，或$REPARSE_POINT（重解析点属性）的类型40H1B文件名长度（字符数L）41H1B文件名命名空间（0＝POSIX，1=WIN32，2=DOS，3=WIN32&DOS）42HL×2Unicode编码的文件名文件名属性可以定位文件路径四、分析80H属性80H属性是存放文件数据的属性，正常情况下无属性名。假如某个文件存在不同的数据流，那么数据属性也可能有多个，分别放在命名的80H属性中。80H属性有可能是常驻，也可能非常驻，根据属性头来判断。四、分析80H属性若80H是常驻属性，文件中的数据则在存放在80H属性内容中，文件的大小在80H属性头10H-13H位置处属性内容的大小。四、分析80H属性如果是非常驻属性，属性头占40H个字节，之后的属性内容就是数据运行表了，在属性头的偏移30H处给出了属性内容（文件数据）的实际字节数。这里的数据运行表就是记录数据存放簇号的索引表，不过这个索引表不是按簇记录，而是按运行块记录，NTFS把连续存放的簇作为一个数据运行，这样可以极大地压缩记录所需的空间。四、分析80H属性---非常驻属性头偏移大小含义00H4B属性类型04H4B属性大小（包括属性头和属性内容）08H1B是否常驻（00＝常驻；01＝非常驻）09H1B属性名长度（0表示无属性名，非0表示属性名的字符个数）0AH2B属性名的起始偏移（如果有的话），通常为18H0CH2B压缩（0001H）、加密（4000H）、稀疏(8000H)标志0EH2B属性ID10H8B起始VCN18H8B结束VCN20H2B数据运行（即非常驻区域，等同于数据区）的信息的偏移地址22H2B压缩单位大小，0表示未压缩24H4B无意义28H8B属性分配大小，是该属性所占的所有簇空间的大小30H8B属性真实大小，即实际占用空间38H8B最初的属性大小（似乎和属性真实大小相同）40H-属性的运行信息（记录了属性内容的位置和大小），或者为属性名（如果有的话）运行索引项结构如果某个文件被分割存放，则每个运行块记录依次排列，最后以“00”结束。…515253……8485868788…LCN块1块200文件的数据运行表分析运行索引项这个运行项，只有1项占用簇数起始LCN运行索引项结构偏移大小描述00H1高4位为描述起始的LCN所需字节数（L）低4位为表示连续占用簇数所需的字节数（N）如果该字节为00H，则表示运行表结束01HN该运行连续占用的簇数N+1L第一个运行项表示为起始LCN，第二个及以后的运行项则是以补码表示距离第一个运行项的偏移簇号运行项从偏移40H处起始，描述了一个至多个区块。工单-提取用户文件数据03任务实施

工单任务

项目四

任务4.4

提取用户文件数据自足专业奋发有为五、读取用户文件数据演示对NTFS分区中指定文件的属性分析过程。准备好NTFS分区的演示环境，如虚拟机、Winhex等。搜寻指定的文件记录项。分析80H属性，读取文件数据组成文件判断是否与原文件相同。总结与拓展04总结1.搜索用户文件的文件记录项。2.分析文件记录项属性列表组