点 分析 了 ＮＴ Ｓ文件 系统 的主 文件表 ＭＦ 文件 记 录 的结构 和 文件 的几 个 关键 属性 （ 文件名 ， Ｆ Ｔ、 即 标 准信息 ． 数据 流等 ） 并在 此基础 上通 过 分析 文件删 除前后 文件属 性值 的 变化 ， 数据 恢复 的具 ， 对
体 方 法 和 过 程 进 行 了详 细 的 阐述 。
要 由 引 导 扇 区 、 文 件 表 ｆ ｓ ｒＦｌ ａｌ， Ｔ 、 很 多重 要信 息 ， 主 Ｍａｔ ｉ Ｔ ｂｅ ＭＦ ） ｅ ｅ 包含 了每簇 扇 区数 、 区的扇 区总 分
系统 文件 和文 件存 储 区域 等 ４个部 分组 成 ．其分 数 、 Ｔ的起 始逻 辑 簇 号 、 件 系 统标 识 等信 息。 ＭＦ 文 区结 构 如图 １ 示 所 在 ＮＦ Ｔ Ｓ中 ．分 区上 的所 有 数据 都 是 以文 件 的形
通 过分 析文件 删 除前后 文 件属 性值 的变化 ．提 出 多少 ．文件 记 录的大小 都 将是 固定 不变 的 ．且为 和实现 Ｎ Ｆ Ｔ Ｓ文件 系统 下数 据恢 复 的方法 １ ＫＢ 。 ２ ＮＴ Ｓ 文 件 系统 介 绍 、 Ｆ ２ 分 区引导 扇 区 ） ＮＦ Ｔ Ｓ和 Ｆ Ｔ ２文 件 系统 在 结 构上 几 乎 是完 Ａ３ 在操作 系统 引导 的过程 中 ．分 区 引导扇 区起 全 不 同的两种 文件 系 统 ． Ｔ Ｓ自身具 有很 多 新 的 着 很重 要 的作 用 ．其 中存储 着 和卷 文件 相关 的结 ＮＦ
件 在磁 盘上 的详 细存 储 位置 。主 文件 表 由一系列 文 件记 录组 成 ， 是一个 与文 件对 应 的数据 库 ． 中 卷
【 关键 词 】 数 据恢 复 ； Ｆ ； ： ＮＴ Ｓ 文件 系统
１ 引 言 、
１Ｎ Ｆ ） Ｔ Ｓ数据 存储结 构
在ＮＦ Ｔ Ｓ文 件 系统 中 ．对文 件 进行 存 取 都是 随着 信息 化社会 的快速 发展 及 电脑 的广泛 应 用． 使用 计算 机进行 犯 罪 的案件 越来 越 多 ， 给人 们 按 照簇分 配 的 ． 而每个簇 都 是物 理扇 区 的整 数倍 ， 但 ＴＳ 和社 会造 成 了巨大 的财产 损失 。 而 ． 了逃脱 公 并且 簇 大小是 物理扇 区的 ２的整数 次 方 ． Ｎ Ｆ 然 为 安 机关 的打击 ．犯罪 分 子经 常将 计算 机上 的犯 罪 文 件系统 里 ．簇 的大 小则 是 由格式 化程 序根 据卷 数据 信息 彻底删 除 ．或将 分 区甚 至整个 硬 盘进 行 的 大 小 自动 分 配 。Ｎ Ｆ Ｔ Ｓ要使 用 逻 辑 簇 号 （ ｇ ￣ １ｉ ｏｃ
２１ ０ ２年第 ５期
福 建 电
脑
８ １
基于 Ｎ Ｆ Ｔ Ｓ文件 系统 的数 据恢 复技 术
张 明 旺 （要 １ ：针 对 用 户在 ＮＴ Ｓ文件 系统 下 由于误操 作 ，造成硬 盘上 的数 据被误 删 除或格 式 Ｆ 化等数 据丢 失 的情 况 下 ． 出如何 恢 复数 据 的 方 法。通 过 对 ＮＴ Ｓ文件 系统结构 的详 细介 绍 ， 提 Ｆ 重
的在 计算机 上恢 复 出犯 罪证 据 ．成为切 实 打击 犯 时 ． 过 Ｌ Ｎ来对 整 个卷 中的所 有簇 从头 到 尾按 通 Ｃ
罪 的一个关 键 因素 照顺 序进 行编 号 ． 卷 因子乘 以 Ｌ Ｎ． 可 以得到 将 Ｃ 就 Ｎ Ｆ （ ｗ Ｔ ｃｎ ｌｇ ｉ ｙｔｍ． 技 术 文 卷上 物理 字节 的偏移 量 ．从而 可去 顶物 理磁 盘 的 Ｔ ＳＮｅ ｅｈ ｏｏｙＦｌ Ｓｓｅ 新 ｅ 件系 统１是 在 Ｗｉｄｗ 操 作 系统 上应 用 十分 广泛 详 细地址 。Ｖ Ｎ则是对 特定 文件 的簇从 头 到尾按 ｎｏ ｓ Ｃ 和 大 力 发 展 的 一 种 文 件 系 统 本 文 首 先 通 过 对 照顺 序进行 编号 ， 方便 引用文 件 中的数据 。 ＮＦ Ｔ Ｓ文 件 系 统 的结 构 和 数 据 存储 结 构 进 行 了详 在ＮＦ Ｔ Ｓ中 ，卷 上 的所有 的数 据信 息 都存 储 细介 绍 ．重点 分 析 了 Ｎ Ｆ Ｔ Ｓ文 件 系统 的 主文 件表 在文 件 中 ， 当中包含 了引 导程序 （ 这 即用 来获 取及 ＭＦ 文件 记 录 的结 构 和文 件 的几个 关 键属 性 （ Ｔ、 即 定位 文件 的一 种数据结 构 ） 以及位 图文 件 （ 录卷 记 文件名 、 准信 息 、 据流 等属 性 ） 并在 此基 础 上 使 用情 况 和大小 ） 标 数 ， 。一般 来说 ， 不论簇 的大小 会是
特征 ， 比如 安 全 性 、 错 性 、 容 文件 压 缩 和 磁 盘配 额 构 信息 和启 动 引导程序 等 操作 系 统在 建立 文件 等 ， 是相对 其他 系统 特 殊 的地 方 Ｎ Ｆ 都 Ｔ Ｓ分 区主 系统 时 ，生成 的 Ｂ Ｂ参 数记 录着 Ｎ Ｆ Ｐ Ｔ Ｓ系统 中 的
格式 化操 作 ． 从而使 得 重要 的犯 的罪 证 据丢 失 ． 给 ｃ ｓ ｒｎ ｍ ｅ ．简 称 Ｌ Ｎ 和 虚 拟 簇 号 （ｉ ｕ ｌ ｔ ｕ ｂｒ ｕｅ Ｃ ） ｖｎ Ｍ 案件 的取证 带来 极 大 的困难 。 因此 ， 如何迅 速 准确 ｃ ｓ ｒ ｕ ｂ ｒ ｌ ｔ ｍ ｅ ，简 称 Ｖ Ｎ）来 对簇 进行 定 位 ， ｕｅｎ Ｃ 同
式 存 储 的 ３ 文 件 表 ＭＦ 主 Ｔ
图 １ＮＴ Ｓ分 区 区域 划 分 Ｆ
主 文 件 表 ＭＦ Ｔ在 Ｎ Ｆ Ｔ Ｓ文 件 系统 中 处 于 最
８ ２
福 建 电
脑
２ １ 第 ５期 ０ ２年
核 心 、 重 要 的地 位 ， 过 ＭＦ 最 通 Ｔ可 以确 定 所 有 文 很 长 时 间 才 被 重 新 分 配