ifysjd 发表于 2009-11-26 09:41:12

$mft $mftmirr 与mft的备份的辨析

在看数据恢复方面的资料的时候，上述的三个最让人产生疑惑，今天希望大家积极参与这一话题的讨论。

geniuslwp 发表于 2009-11-26 09:45:15

NTFS太复杂了

ifysjd 发表于 2009-11-26 11:14:21

简单的说：$mft就是具体描述了主文件表（mft）的各个属性，其中最重要的是数据属性（80）的三个运行或扩展
。http://u.intohard.com/attachment/200911/26/130273_1259204872Xo0D.jpg
http://u.intohard.com/attachment/200911/26/130273_1259204893r8s5.jpg

ifysjd 发表于 2009-11-26 11:21:55

$mftmirr是主文件表中的第二个记录，文件记录号为1。它的数据属性指出了主文件表的前四个记录文件的索引项的位置。


http://u.intohard.com/attachment/200911/26/130273_1259204916vD71.jpg


http://u.intohard.com/attachment/200911/26/130273_12592049400Sq8.jpg

ifysjd 发表于 2009-11-26 11:26:49

主文件表的备份占一个簇即8个扇区，包括四个元文件。

http://u.intohard.com/attachment/200911/26/130273_1259204971yMRM.jpg



http://u.intohard.com/attachment/200911/26/130273_12592049989vOT.jpg


http://u.intohard.com/attachment/200911/26/130273_12592049989vOT.jpg


http://u.intohard.com/attachment/200911/26/130273_1259205019029j.jpg

ifysjd 发表于 2009-11-26 11:27:50

如有不明白的可以参与讨论。
页: [1]
查看完整版本: $mft $mftmirr 与mft的备份的辨析