第1章 NTFS文件系统概述 1
1.1 文件系统简介 1
1.2 NTFS文件系统 2
1.2.1 NTFS文件系统简介 2
1.2.2 NTFS文件系统的发展历史 2
1.2.3 NTFS文件系统的主要特性 3
1.2.4 与NTFS文件系统有关的概念 6
1.2.5 NTFS文件系统的元文件和总体布局 7
1.2.6 NTFS文件系统引导扇区 10
1.2.7 有关NTFS文件系统容量计算的公式 15
第2章 元文件＄MFT文件记录结构 16
2.1 元文件＄MFT概述 16
2.1.1 元文件＄MFT的总体结构 16
2.1.2 文件记录结构 16
2.1.3 文件记录头结构 18
2.1.4 记录属性及其分类 20
2.2 文件和文件夹常用属性介绍 25
2.2.1 10H属性 26
2.2.2 30H属性 28
2.2.3 80H属性 32
2.2.4 90H属性 38
2.2.5 A0H属性 52
2.2.6 B0H属性 53
2.3 文件和文件夹不常用属性介绍 56
2.3.1 20H属性 56
2.3.2 40H属性 62
2.3.3 50H属性 63
2.3.4 60H属性 67
2.3.5 70H属性 68
2.3.6 C0H属性 70
2.3.7 D0H属性 71
2.3.8 E0H属性 71
2.3.9 100H属性 71
第3章 NTFS文件系统的元文件 72
3.1 元文件＄MFT 72
3.2 元文件＄MFTMirr 84
3.3 元文件＄LogFile 88
3.4 元文件＄Volume 92
3.5 元文件＄AttrDef 97
3.6 元文件“．” 103
3.7 元文件＄Bitmap 106
3.8 元文件＄Boot 111
3.9 元文件＄BadClus 113
3.10 元文件＄Secure 114
3.11 元文件＄UpCase 117
3.12 元文件＄Extend 118
3.13 元文件＄Quota 119
3.14 元文件＄ObjId 120
3.15 元文件＄Reparse 122
3.16 元文件＄RmMetadata 123
3.17 元文件＄Repair 125
第4章 NTFS索引节点结构、根目录与回收站 126
4.1 索引节点结构 126
4.2 B-树和B＋树的差异 130
4.3 小目录的B-树结构 131
4.4 中目录的B-树结构 135
4.5 大目录的B-树结构 144
4.6 长文件名的B-树结构 150
4.7 根目录的结构 155
4.8 回收站的结构 161
4.8.1 Windows XP回收站的结构 161
4.8.2 Windows 7回收站的结构 163
第5章 文件基本操作对NTFS元文件的影响 166
5.1 建立文件对＄MFT和索引目录等的影响 166
5.2 复制文件对＄MFT和索引目录等的影响 174
5.2.1 复制短文件名的小文件对＄MFT和索引目录等的影响 174
5.2.2 复制短文件名的大文件对＄MFT和索引目录等的影响 178
5.2.3 复制长文件名的小文件对＄MFT和索引目录等的影响 181
5.2.4 复制长文件名的大文件对＄MFT和索引目录等的影响 184
5.3 文件重命名对元文件＄MFT和索引目录的影响 189
5.3.1 短文件名重命名为短文件对＄MFT和索引目录的影响 189
5.3.2 短文件名重命名为长文件对＄MFT和索引目录的影响 194
5.3.3 长文件名重命名为短文件对＄MFT和索引目录的影响 196
5.3.4 长文件名重命名为长文件对＄MFT和索引目录的影响 200
5.4 删除文件对＄MFT和索引目录等的影响 202
5.4.1 删除短文件名的小文件对＄MFT和索引目录等的影响 202
5.4.2 删除短文件名的大文件对＄MFT和索引目录等的影响 222
5.4.3 删除长文件名的小文件对＄MFT和索引目录等的影响 228
5.4.4 删除长文件名的大文件对＄MFT和索引目录等的影响 230
5.4.5 删除多个短文件名的小文件对索引目录结构的影响 234
5.5 移动文件对索引目录的影响 239
5.5.1 移动短文件名的小文件对索引目录的影响 240
5.5.2 移动短文件名的大文件对索引目录的影响 242
5.5.3 移动长文件名的小文件对索引目录的影响 243
5.5.4 移动长文件名的大文件对索引目录的影响 244
5.6 同名文件被覆盖对NTFS元文件的影响 245
5.6.1 覆盖短文件名的小文件对NTFS元文件的影响 245
5.6.2 覆盖短文件名的大文件对NTFS元文件的影响 247
5.7 更改文件属性对＄MFT和索引目录的影响 254
5.8 编辑文件对＄MFT、索引目录和位图文件的影响 256
5.9 通过位图文件计算磁盘已用空间和自由空间的基本方法 262
5.9.1 通过位图文件计算磁盘已用空间的基本方法 263
5.9.2 通过位图文件计算磁盘自由空间的基本方法 265
5.10 压缩卷对分区表及NTFS文件系统的影响 265
5.11 扩展卷对分区表及NTFS文件系统的影响 272
第6章 NTFS文件系统下的数据恢复 274
6.1 文件被删除后的手工恢复 274
6.2 NTFS的DBR被破坏的现象与手工恢复 276
6.3 NTFS分区表被破坏的现象与手工恢复 284
6.4 分区表及DBR被破坏的现象与手工恢复 289
6.5 Windows 7下快速格式化后的数据恢复 297
6.5.1 Windows 7下NTFS被快速格式化成FAT32的恢复 297
6.5.2 Windows 7下FAT32被快速格式化成NTFS的恢复 301
6.5.3 Windows 7下NTFS被快速格式化成NTFS的恢复 302
6.6 Windows 7下格式化后的数据情况 302
6.7 Windows XP下快速格式化后的数据恢复 302
6.7.1 Windows XP下FAT32被快速格式化成NTFS的恢复 302
6.7.2 Windows XP下NTFS被快速格式化成FAT32的恢复 307
6.7.3 Windows XP下NTFS被快速格式化成NTFS的恢复 308
6.8 Windows XP下格式化后的数据恢复 309
6.8.1 Windows XP下FAT32被格式化成NTFS的恢复 309
6.8.2 Windows XP下NTFS被格式化成FAT32的恢复 310
6.8.3 Windows XP下NTFS被格式化成NTFS的恢复 312
6.9 有关NTFS文件系统数据恢复案例 312
参考文献 335