14、人工智能时代的数字取证：FAT与NTFS文件系统解析

人工智能时代的数字取证：FAT与NTFS文件系统解析

1. NTFS文件系统关键文件概述

NTFS文件系统有许多重要的文件，这些文件在系统的运行和数据管理中起着关键作用。以下是一些重要文件及其作用的介绍：
| 文件名称 | 文件系统记录位置 | 描述 |
| — | — | — |
| $MFT | MFT（0） | 存储文件系统中所有文件（和目录）的记录 |
| $MFTMirr | MFT2（1） | MFT的副本，用于冗余和在原始MFT文件损坏时恢复MFT |
| $LogFile | 日志文件（2） | 存储与元数据操作相关的事务，以便在灾难事件发生时进行恢复 |
| $volume | 卷（3） | 存储卷的相关信息，如版本和标签 |
| $AttrDed | 属性定义（4） | 存储属性类型、代码和定义 |
| $Root filename index | 根文件名索引（5） | 代表NTFS卷的根文件夹 |
| $Bitmap | 簇位图（6） | 存储卷中可用簇的位图，指示哪些簇已分配，哪些簇可用 |
| $Boot | 引导扇区（7） | 存储NTFS文件系统引导过程的代码 |
| $BadClus | 坏簇（8） | 维护已确定损坏且不可用的簇 |
| $Secure | 安全文件（9） | 保存文件系统的安全描述，如卷中所有文件和目录的访问控制列表（ACL） |
| $Upcase | 大写表（10） | 用于将卷中的所有小写字符转换为大写Unicode |
| $Extend | NTFS扩展（11） | 包含可选的NTFS扩展，如配额和对象标识符 |