DataRun的分析在定位文件在NTFS文件系统中的位置的过程中是必不可少的,他相当于一个父目录开启他所属的某个子目录的钥匙,而且DataRun的分析也是相当复杂需要讨论多种情况。上一篇我们说到,DataRun是起到了“银行卡”的作用。(不知道的请看我的前一篇文章,如果您知道DataRun是什么东东,那就可以直接跳过看第二段…)这里的DataRun指代的是MFT---A0H块的body部分,DataRun记录了他所属MFT所有Index的簇号(当然前提是它要有index)。下面我们来举个例子分析Data Run。
请看上图,深红色的部分就是某一个目录(文件夹)的DataRun, 它由24个字节组成,开头为21H,结尾为87H。首先,我们要先介绍下DataRun的组成,首先我们由上文知道一个MFT的index是由一个或多个不一定连续的簇组成的,比如说一个文件夹Temp,他的Index簇号为19,20,40,50,51。这些簇就会记录在Temp的DataRun中,如何记录呢?分3部 : 1.以19簇开头,2个簇长度; 2.以40簇开头,1个簇长度;3,以50簇开头,51簇长度。大家明白了吗?DataRun中只把非连续的簇信息分开存放,而连续的簇,他只记录首簇号与”有多少个连续的簇”2种信息。其次我们必须了解DataRun信息的存放格式: 信息头(21H)+簇长度(01H)+相对扇区号(0C73H),下面我们来详细分析图中数据。
首先我们由格式可以得出,首先21H为信息头(这名字是我自己起的),他表示什么呢?表示后面有1个字节是表示长度,长度后面有2个字节表示相对簇号,那假设信息头为32H,就表示后面有2个字节是表示长度,长度后面有3个字节表示相对簇号。大家应该明白了吧。他不是单纯的一个16进制数!那我们回到21H,他说后面有1个字节表示长度,那后面我们数过去一个字节,是01H,转化为10进制为1,表示什么?表示这一段信息只有1个簇长度。长度后面有2个字节表示相对扇区号,我们数过去2个字节,是0C73H,读数字会吧,要倒着,内存中就是这么放的,表示相对簇号为0C73H…因为这是第一条信息,所以他就是0C73H簇(这里不明白没关系,后面会说清楚),好,我们第一个index出来了:0C73簇开头的1个簇,就是0C73簇,好,我们下面用同样的方法分析下一段DataRun: 为了看的清楚,我把图片拷贝过来。
我们看到0CH后面是31H,这个大家知道是什么吗?对,就是信息头,相信大家会分析了吧,我们继续看后面的数据就是01AAE3H开头的1个簇,这时大家要注意,因为01AAE3H为相对簇号,所以下一个index正确的簇号是:此相对的簇号加上前面所有的相对簇号(要全加,不能只加前面一个,如果这是第三个index,那么要把第一个和第二的相对簇号全部和此相对簇号相加),还有一点要注意,相对簇号是用补码表示的!!如果为 相对簇号为E711H,必须转化为原码(就是负数)再与前面的相对簇号(也要转换为原码)相加。这回大家知道什么是相对簇号了吧。我们继续分析…(分析省略)好,我们分析到 8E 72 FF完,忽然发现…怎么是00??00表示什么呢…哈,恭喜你,你已经分析结束,后面的可以不看了。大家如果还有什么问题,欢迎留言,在附件中,我也提供了一些资料,是英文版的,但是对DataRun的分析很有帮助,它举例了几乎所有的情况,在这里我不可能说明拟稿所有的情况,还是请资料帮你吧!
最后,我要说一个让我超级郁闷过的一个问题:更新序列号。
请看图 如果一个MFT的DataRun正好包括某个扇区的最后两个字节,这两个字节为“伪字节”(也是我自己起的),如果按照这2个字节分析,是不可能分析正确的,那正确的2个字节在哪呢??
我们看一个完整的MFT开头
大家看到了吗,打圈圈的地方就是真的数字,大家计算的时候,把假字节覆盖就可以了,好了,就说那么多。希望和大家多多交流经验。
- 大小: 12.6 KB
- 大小: 17.3 KB
- 大小: 32.5 KB
分享到:
相关推荐
用C编写的一个Unix/Linux文件系统
简单的c/c++实现的基于文件的DES加解密
由于该技术需要直接读写对内存中的机器码,所以多采用汇编语言实现,这使得很多想在自己的程序中使用SMC技术进行软件加密的C/C++程序员望而却步。针对这种现状,本文提出了几种基于C/C++语言的机器指令定位方法,...
* 这是修改过后的fis.c模糊推理系统库函数,可以移植C/C++环境使用,在VS2010的MFC环境经过测试 * 1、将fis.c文件拷贝到项目中; * 2、修改VS2010的配置属性,项目->属性->C/C++->预处理器->预处理器定义,添加 ...
1. 熟悉 C/C++ 的人员 2. 正在做关于 Qt 可视化却无从下手的人员 3. 希望做一个小项目,但没有合适的框架的人员 我主要能学到什么: 1. 该项目包含 鼠标点击响应与绘图相关的算法 2. 该项目包含 创建、删除、编辑 ...
C语言/C++实现的图书管理系统,含有以下功能: 删除图书信息 修改图书信息 查询图书信息 查看馆藏图书
基于C/C++模拟处理机调度、存储管理(动态分区分配、分页存储地址转换)和文件系统 基于C/C++模拟处理机调度、存储管理(动态分区分配、分页存储地址转换)和文件系统 基于C/C++模拟处理机调度、存储管理...
简单的c/c++实现的基于文件的RSA加解密
C/C++实现linux和Windows查看系统、进程、服务的内存和CPU使用情况的源代码,生成的是静态链接库,Windows和Linux下经测试都可用,查看系统、指定名称的服务、指定名称的进程占用CPU和内存,查看方式不是通过程序中...
C/C++关于文件的操作,很小的程序,简洁实用
有关状态机设计方面的书籍,我这里隆重推荐一本:《Practical Statecharts in C/C++ Quantum Programming for Embedded Systems》,中文名叫做《嵌入式系统的微模块化程序设计-实用状态图C/C++实现》,北航出版的,...
作为一本算法实现的书籍,本书严格遵循软件开发原则,详细描述了设计思想及错误处理方法,并对所有函数进行了广泛测试。 本书可以作为高等院校信息技术相关专业高年级本科生或研究生的教材,也是信息技术从业人员...
编译原理课程设计之一用编程语言实现词法分析,用C++实现 注释清楚详细,程序风格良好 /*目前实现的功能有: */ /* 0.课程要求的词法分析基本功能 */ /* 1.识别用户定义的初次定义的变量还是已经定义的变量还是错误...
lua作为小巧精悍的脚本语言,易于嵌入c/c++中 , 广泛应用于游戏AI ,实际上在任何经常变化的逻辑上都可以使用lua实现,配合c/c++实现的底层接口服务,能够大大降低系统的维护成本。下面对lua和c/c++的交互调用做一...
这次编译原理实验要求实现语义分析,但最近空闲时间比较少,只能快速过一遍基础知识硬着头皮写了。但由于之前我设计文法大多只是为了测试使用,所以文法很不规范,这直接导致了语义子程序十分难实现,所以要想实现一...
给定一个文件,输出该文件的目录项和文件所占的所有簇号,目前调试通过卷标为F:的U盘下任意文件的搜索,可能存在一些问题,仅供参考。 代码参考:https://www.debugrun.com/a/zAfLt9k.html
不用windows接口实现FAT文件系统的文件信息
操作系统实验一报告【使用C语言/C++实现时间片轮转调度算法】
c / c++ / cpp / stl 中文帮助文档手册chm格式下载 C/C++ 语言参考 基本C/C++ 预处理命令 操作符优先级 转义字符 ASCII码表 基本数据类型 关键字 标准 C 库: Standard C I/O Standard C String...