天易loveWord文档下载推荐.docx

天易loveWord文档下载推荐.docx

《天易loveWord文档下载推荐.docx》由会员分享，可在线阅读，更多相关《天易loveWord文档下载推荐.docx（12页珍藏版）》请在冰豆网上搜索。

以往仅仅通过在$MFT内部搜索指定文件的文件记录，而后分析其中的$DATA属性的办法，这种方法涉及到的NTFS知识点还不是很多。

首先在WinHex中打开文件所在的逻辑磁盘，如图所示。

图x-x 

选择磁盘分区

打开后找出以下几处数据，如图所示。

分区开始处的数据

$200*$08=$1000=4096字节/簇（10进制）

$000C0000=786432簇

这样$MFT的位置就确定了。

转到$MFT

根目录的文件记录

我们知道根目录是第5#记录，且每个文件记录占用2个扇区，所以根目录位于：

786432*8+5*2=6291466扇区

图中的字节03表示根目录的命名符合Win32&

DOS规则，仅一个unicode字符，用实心圆点表示。

由于笔者D盘的文件及目录较多，因此存在A0属性，这个索引分配属性可以帮助我们找到所需的文件记录，看一下这个A0属性，如图：

根目录的$A0属性

红色圈内的就是根目录的$A0属性，长$80字节，$01表示非常驻属性，$4是（Datarun）的属性内偏移。

内部圈中就是重要的Datarun数据。

1#$0088B903=8960259簇

$A7F65B因为它的最高二进制位为1，代表一个负数，即-（$1000000-$A7F65B）=-5769637（10进制）

所以2#8960259-5769637=3190622簇

同理$FD22也代表一个负数，即-（$10000-$FD22）=-734（10进制）

所以3#3190622-734=3189888簇

依次类推，所有簇分布如下：

1#8960259簇

2#3190622簇

3#3189888簇

4#3822487簇

5#10704273-10704274（2簇）

6#10693948簇

7#10683941簇

8#13267096簇

9#15336964簇

10#13125728簇

在这些簇中存放着根目录下的文件、目录的相关索引，现在要做的就是到这些簇中找“手工恢复实例”这个目录的索引项，纯体力活。

“手工恢复实例”对应的Unicode编码为：

4B62E55D62600D599E5B8B4F

这里就省去查找过程，我们直接跳转到3#3189888簇。

如图所示。

“手工恢复实例”目录的索引项

图中的字节05表示父目录的文件记录位置为5#；

字节$5C表示自身的文件记录号;

圈中的字节00000010（$10000000）表示该索引为目录索引。

我们知道根目录是第5#记录，显然我们已经找到了“手工恢复实例”这个文件夹的目录索引项，而且它的文件记录号是5C#。

所以它位于：

786432*8+92*2=6291640扇区，跳转过去确实是“手工恢复实例”这个文件夹的文件记录，文件记录模板如图所示。

该目录只有$INDEX_ROOT（$90）属性，没有$INDEX_ALLOCATION（$A0）属性，显然是个小文件夹，事实也确实如此。

$INDEX_ROOT（$90）属性总是常驻属性，它作为一棵B+tree的根节点。

该根节点中可能存放多个索引项，数目依文件记录剩余空间大小而定；

这些索引项可以提高NTFS系统访问文件、文件夹的效率，减少磁头读写硬盘的次数，加快定位文件记录的速度。

简单提一下，通常我们会发现$INDEX_ROOT（$90）属性这个B+tree的根节点中并没有索引项，难道真就没有索引项了吗？

其实不然，由于文件记录的空间有限，当B+tree的根节点无法容纳所有的索引项时，NTFS系统会把它们放到B+tree的子节点中去，仅在根节点中留下这个特殊子节点的信息，方便查询。

在这个特殊的子节点中，存放着特殊的索引项；

这些索引项都是B+tree在节点分裂过程中产生的，它们携带着特殊的信息，把它们集中在一块，方便NTFS系统的查询和定位操作。

以下示意图会帮助你加深理解。

B+tree在NTFS中的运用

$INDEX_ALLOCATION（$A0）属性即索引分配缓冲区属性，存放着B+tree所有子节点的信息，它总是非常驻属性。

“手工恢复实例”的文件记录模板

“手工恢复实例”的$90属性

USA数组

由于$90属性正好包含扇区尾部的USN，所以我们要到USA数组中把原来的数据找回来。

文件记录头部的30字节指示了USA数组在文件记录内部的偏移，而紧跟的03字节表示USA数组的大小（以word大小为单位），这里是3表示USA数组有3个WORD。

除去第一个USN（1100）和尾部结束标志（0000），实际的有效数据只有一个word（3456）。

我们把word（3456）替换掉$90属性中的USN（1100），得到一串Unicode编码：

“4696B65B34562E00720061007200”，这正是字符串“陆家嘴.rar”对应的16进制Unicode编码“4696B65B34562E00720061007200”。

圈中的字节B37A0200（$27AB3）为“陆家嘴.rar”文件的实际大小162483字节；

字节20表示这是一个文件索引项；

字节5c是父目录的文件记录号；

第一处划线的00是常驻属性标志；

我们需要的是字节63（16进制），它就是“陆家嘴.rar”这个压缩文件的文件记录号。

“陆家嘴.rar”的文件记录模板

它位于：

786432*8+99*2=6291654扇区，跳转过去取得文件记录模板如图所示。

“陆家嘴.rar”的文件记录模板

提取出datarun字节：

“3101F0013041278C809700”计算如下：

1#$3001F0=3146224簇

因为$0097808C最高二进制位为0，代表一个正数，即9928844（10进制）

所以2#3146224+9928844=13075068簇

综上：

1#3146224簇

2#13075068-13075106（39簇）

刚才得到文件的实际大小为：

162483字节，除去1#占用4096，那么2#占用了158387字节。

可以算出2#碎片第39簇占用的有效字节数：

158387-38*4096=2739字节。

现在就可以直接提取这两部分的数据，再组合成一个文件即可。

具体操作可以这样：

先新建一个大小为162483字节的空白文件；

新建一个空白文件

接着跳转到1#3146224簇，复制出该簇数据共4096字节写入空白文件；

写入空白文件

选择剪贴板格式

继续复制2#13075068-13075106（39簇）处的数据，注意最后一簇仅有2739字节的有效数据，复制出来后，追加到刚才写入数据的后面；

最后保存为“data.rar”，并放置到到其他分区，这样可以确保不覆盖掉当前卷中的其他有用数据。

提取出的压缩文件数据完好，包含图片可以正常显示。

提取出的rar文件

图片正常显示