分析NTFS系统,得到特定文件内容

最新推荐文章于 2024-05-25 15:10:24 发布
原创 最新推荐文章于 2024-05-25 15:10:24 发布 · 2.1k 阅读 · 7 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#NTFS文件系统

本文详述了如何在NTFS文件系统中手动查找特定文件的过程，通过WinHex分析硬盘结构，理解MBR、EBR、MFT等概念，并最终定位到文件的扇区位置，从而获取文件内容。

因为软件安全实验课的关系,特做此实验,巩固上节学的知识

首先从C盘分出了10G的空间(虚拟机之前只有一个分区),然后创建E:\dir\enjoy\test.txt
test.txt里面的内容是1234567890
这里写图片描述

打开WinHex
这里写图片描述

从图中可以看到启动扇区从0扇区开始.共计63个扇区,属于隐藏扇区

这里写图片描述这里写图片描述

第一个分区从63扇区开始,总共62914496个扇区,每个扇区512字节,每个簇4096个字节,共计7864312个簇,$MFT所在簇号为786432,(柱面391;磁头160,扇区25)

这里写图片描述
这里写图片描述

第二个扇区起始扇区号为62914560,总计扇区20971520,每个扇区大小为512字节,每个簇4096个字节,总共2621439簇,MFT所在扇区为786432(柱面:4307,磁头:223,扇区:13)
注:第二和第二分区之间还有一个扇区,我不知道是干嘛的
最后从83875365扇区开始,是剩余扇区,共计10715个扇区

当然,通过软件,我们很容易得到磁盘的信息,

最低0.47元/天 解锁文章
NTFS文件系统解析
bcbobo21cn的专栏
12-25 1407
NTFS文件系统解析；
分析NTFS系统，得到特定文件内容
缘木之鱼
10-11 1457
分析NTFS系统，得到特定文件内容
分析NTFS文件系统得到特定文件的内容
weixin_34378969的博客
03-24 232
找某一个文件的内容（如要读取文件D:\dir\dir2\text.txt，详细过程例如以下： （1）读取分区表/分区链表信息，找到磁盘F的起始扇区。 （2）读取D盘的第一个扇区（分区的BOOTSETOR）取得分区的每簇大小，MFT表起始簇号等信息。 （3）读取MFT表的第五个记录（根文件夹）找到文件夹索引所在簇号。 （4）读取根文件夹索引，查找dir文件夹所在的MFT记录号 （5...
NTFS文件系统研究
02-01
数据恢复的具体实现涉及到深入分析NTFS文件系统的内部结构，包括MFT记录的解析、文件属性的提取等。通过这些技术手段，可以定位丢失的文件位置并尝试恢复它们。 ##### 4.5 数据恢复经验介绍 - **几个常识性问题**：...
精选资源
MFTECmd:从NTFS文件系统解析$ MFT
05-04
通过解析MFT，即使在文件被物理删除后，也能找回部分文件内容和元数据信息，这对于犯罪调查和数据恢复至关重要。 **数据恢复** 对于数据恢复专家来说，MFTECmd是宝贵的工具。它可以深入到NTFS文件系统的底层，尝试...
NTFS文件解析系统的简单分析
10-28
NTFS文件解析系统的简单分析NTFS文件解析系统的简单分析
NTFS文件系统下文件提取
weixin_60418242的博客
12-04 2923
一、寻找根目录 11.1、找到MFT主文件记录表 1（1）首先找到NTFS文件系统的DBR： 1（2）此时我们来到了MFT主文件表所在区域： 31.2、找根目录 3二、提取数据（重点） 52.1、提取单个根目录下的文件 52.1.1、小文件提取 5（1）首先我们看看我有什么文件在这个磁盘中： 5（2）从根目录获取所需文件所在扇区 6（3）找到文件所在扇区并提取 62.1.2、大文件提取 82.2、提取文件夹下的文件 10 学会了NTFS文件系统的结构以及知道如何从DBR获取关键字节信息之后我们
ntfs系统文件查找恢复工具
11-01
个人使用Delphi开发的ntfs系统文件查找恢复工具，查找速度远快于windows自带搜索功能，恢复文件也是非常的简单。由于软件进行了压缩，某些安全软件可能会有提示，请勿担心。欢迎使用并提宝贵意见！
NTFS硬盘必备的超快文件名搜索软件Everything
03-28
Everything是速度最快的文件名搜索软件。其速度之快令人震惊，百G硬盘几十万个文件，可以在几秒钟之内完成索引；文件名搜索瞬间呈现结果。它小巧免费，支持中文，支持正则表达式，可以通过HTTP或FTP分享搜索结果。如果不满意Windows自带的搜索工具、Total Commander的搜索、Google 桌面搜索或百度硬盘搜索，如果正在使用或放弃了Locate32，都值得推荐这款体积小巧、免安装、免费、速度极快（比Locate32更快）的文件搜索工具Everything！
NTFS文件系统下用C++定位文件簇号和目录项
03-26
给定一个文件，输出该文件的目录项和文件所占的所有簇号，目前调试通过卷标为F:的U盘下任意文件的搜索，可能存在一些问题，仅供参考。 代码参考：https://www.debugrun.com/a/zAfLt9k.html
NTFS中手工定位目录和文件
02-27
NTFS中手工定位目录和文件并提取，实例恢复。。。
NTFS文件解析系统的简单分析,手工定位文件
08-22
在学习前人的基础上 加上自己的实习笔记 图文并茂...呵呵
[源码和文档分享]编程实现根据NTFS文件系统定位文件在磁盘上的偏移地址
qq_38474647的博客
12-30 211
背景 之前在上一篇博文中 “NTFS文件系统介绍及文件定位” 介绍过 NTFS 的基础概念和常用格式介绍，同时还详细给出了使用 NTFS 定位磁盘文件的例子。现在，这篇文章讲解的就是，编程实现 NTFS 文件定位。也就是把之前手动定位全部改成编程实现，输入一个文件路径，就可以得到文件的大小和数据在磁盘上的偏移地址。 现在，就把实现的过程整理成文...
NTFS Data Runs
weixin_33851177的博客
11-12 454
template "NTFS Data Runs" //template by Jens Kirschner//X-Ways Software Technology AG description "To be applied to beginning of data runs"applies_to disk begin {uint_flex "3,2,1,0" "C...
毕业设计：NTFS磁盘文件快速定位
05-16 1485
2012-5-27 6:03:53 1、最小化到系统托盘，右键弹出菜单 2、防止重复启动 3、添加排除文件夹 2012-5-20 11:24:06 加了个状态提示 ———————————————————— NTFS磁盘文件（夹）快速定位 只在NTFS、win2k及以后的windows版本适用 输入要查找的文件名中的关键字，列出路径，双击可打开文
NTFS文件系统文件寻址实操记录
AndrewLi的博客
05-25 1664
本文章通过寻找文件地址这个任务，讲述了NTFS文件系统$Boot文件、$MFT文件的结构，对$MFT文件中的A0、80属性进行了重点分析。
ntfs文件系统80H属性分析
最新发布
03-29
### NTFS 文件系统 80H 属性的含义及作用 #### 80H 属性概述 80H 属性是 NTFS 文件系统中的一种重要属性，主要用于存储文件的实际数据内容。这种属性可以分为两种形式：常驻和非常驻。当文件较小且其数据可以直接存放在 MFT 记录中时，80H 属性表现为常驻属性；而当文件较大无法完全放入单个 MFT 记录时，则会采用非常驻的形式[^4]。 #### 常驻 80H 属性的特点 对于小型文件而言，其实际数据能够被嵌入到 MFT 的记录内部，此时该属性被称为常驻属性。在这种情况下，80H 属性的内容即为文件的真实数据部分，无需额外查找其他区域来获取完整的文件信息。 #### 非常驻 80H 属性的作用 当文件尺寸超出单一 MFT 条目所能容纳范围时，80H 属性则转为非常驻模式。在此状态下，它不再直接保存具体的数据块而是通过一系列指针或者所谓的“簇流运行”间接指向外部磁盘上的真实数据片段所在位置[^2]。这些指针构成了复杂的映射关系以便操作系统能按照正确的顺序读取并重组原始文件内容。 以下是关于如何处理这两种不同类型的简单示例代码： ```python def read_ntfs_file(mft_record, attribute_type=0x80): if is_resident(attribute_type): # 判断是否为常驻属性 data = mft_record['data'] # 如果是常驻属性，直接提取数据 else: runs = parse_runs(mft_record) # 对于非常驻情况，先解析runs得到各段数据的位置 data = assemble_data_from_disk(runs) # 然后依据runs组装成完整数据 return data # 辅助函数用于判断属性类型 def is_resident(attr_type): resident_flag = attr_type & 0b1 # 取最低有效位作为标志位 return bool(resident_flag) # 这里仅提供概念性的伪码实现细节省略... ``` 上述代码展示了根据不同条件分别对待两类不同的80H属性的方法框架。 #### 特殊标记的意义 值得注意的是，在某些特定场景下比如涉及压缩或加密操作时，即使是对同一个逻辑单元号(LCN)，也可能存在多组物理扇区编号(RUNs)[^3]。因此理解好这方面的差异有助于更精确地管理和维护基于NTFS架构下的各类应用服务环境配置等工作流程当中遇到的相关技术难题解决方案设计思路等方面积累经验教训总结提升自我能力水平达到预期目标效果最大化原则执行标准规范要求严格把控质量关口确保项目顺利完成交付成果验收合格率达到百分之百以上！
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值