上节课我们已经知道非常驻属性的属性体是一个簇流信息。那么簇流信息具体是什么呢。簇流其实是用来描述数据内容的存放地址。簇流信息可以是一组簇流或者多组，一组簇流信息表示这个数据内容只有一个片段是连续的。如果是多组簇流信息，那么就说明这个数据内容是有多个片段组成..
分类：
其他好文 时间：
2016-07-09 22:24:45
阅读次数：
875
上篇文章我们已经知道MFT属性体分为两种，一种是常驻属性头另外一种是非常驻属性头两种属性头在结构方面有所不同。那么MFT属性体的数据结构又是如何的呢，其实MFT的属性体是根据属性头的类型不同其数据结构也不同的。常驻属性的属性体很小，可以直接存放在MFT项中。而非常驻属..
分类：
Web程序 时间：
2016-07-08 20:07:28
阅读次数：
548
前面说过MFT是有一个个属性组成，那么每个属性的具体结构又是如何呢？MFT属性的类型很多，但它们都有个共同的特点，那就是每个属性都有属性头和属性体。属性头又分为常驻属性和非常驻属性。常驻属性和非常驻数据最大的区别是常驻属性的只是在MFT内部记录，非常驻数据由于MFT记..
分类：
Web程序 时间：
2016-07-07 14:31:35
阅读次数：
441
MFT可以分为两部分：第一部分自然是MFT头，剩下一部分是MFT的属性列表。MFT是主要是有一个个属性列表组成的，属性列表用来记录文件的各个属性。MFT头的空间很小，只是用来记录MFT的关键信息。MFT的属性有很多类型，属性也分常驻属性和非常驻属性。每种类型的属性都有自己的结构..
分类：
Web程序 时间：
2016-07-05 12:32:31
阅读次数：
401
最近做一个NTFS分区上的碎片文件恢复时发现，winhex没有正确的解析NTFS的Attribute20非常驻属性。例如这样一个在磁盘上正常的文件，它的Attribute20属性如下图所示：这是一个非常驻属性，这个文件有大量的碎片，但是用winhex浏览文件时确无法打开文件：winhex获取的文件大小为0..
