1、引言
对于NTFS文件系统而言，无论文件内容本身，抑或真实的文件属性，都被称之为属性。
而正如前文说到的，NTFS预定义了16种属性用于文件系统的管理。
而通常情况下，往往只需要关注其中的某些属性即可。
2、属性头
为了便于管理，NTFS文件系统为所有的属性定义了统一的头部结构，可以称之为属性头。
而由于每种属性的长度不一，因此又额外定义了常驻属性和非常驻属性。
// 长度：0x10
typedef struct {
b32 attr_type; // 当前属性类型
b32 length; // 属性长度
b8 non_resident; // 常驻属性标识：0 - 常驻属性, 1 - 非常驻属性
b8 name_length; // 属性名长度：0 - 无名属性
ub16 name_offset; // 属性名偏移：0x18
ub16 flags; //
ub16 attr_id; //
} AttributeHeader;
// 长度：0x8 + 0x10
typedef struct {
AttributeHeader header; // 属性头
b32 length; // 属性体长度
ub16 offset; // 属性偏移
b8 index_flag; // Indexed flag
b8 padding; // Padding
} ResidentAttrHeader;
// 长度：0x30 + 0x10
typedef struct {
AttributeHeader header; // 属性头
b64 vcn_begin; // 起始VCN号
b64 vcn_end; // 结束VCN号
ub16 data_run_offset; // Data Runs偏移
ub16 compression_size; // Compression unit size
b32 padding; // Padding
b64 byte_alloc; // 分配大小
b64 byte_use; // 实际使用大小
b64 init_size; // Initialized data size of the stream
} NonResidentAttrHeader;
3、$STANDARD_INFORMATION
常驻属性。通常情况下我们可以通过本属性获取文件时间和文件访问属性。
// 文件属性
typedef enum {
READONLY = 0x0001,
HIDDEN = 0x0002,
SYSTEM = 0x0004,
ARCHIVE = 0x0020,
DEVICE = 0x0040,
NORMAL = 0x0080,
TEMPORARY = 0x0100,
SPARSEFILE = 0x0200,
REPARES_Point = 0x0400,
COMPRESSED = 0x0800,
OFFLINE = 0x1000,
NOT_CONTENT_INDEXED = 0x2000,
ENCRYPTED = 0x4000,
DIRECTORY = 0x10000000, //(copy from corresponding bit in MFT record)
INDEX_VIEW = 0x20000000, //(copy from corresponding bit in MFT record)
} FileAttrFlags;
// STANDARD_INFORMATION = 0x10,
typedef struct {
b64 time_create; // 文件创建时间
b64 time_update; // 文件修改时间
b64 time_mft_change; // 文件记录修改时间
b64 time_access; // 文件访问时间
b32 file_attribute; // 文件属性
b32 max_version; // 文件最大版本
b32 version; // 当前文件版本
b32 class_id; // Class Id
b32 owner_id; // Owner Id
b32 security_id; // Security Id
b64 quota_charged; // Quota charged
b64 usn; // USN Journel
} StdInformation;
4、$ATTRIBUTE_LIST
常驻/非常驻属性。
当一个文件或者文件夹存在多个文件记录时，主文件记录中会生成一个或多个ATTRIBUTE_LIST属性。在这种情况下，需要通过遍历ATTRIBUTE_LIST属性读取base_record_ref对应的文件记录。
// ATTRIBUTE_LIST = 0x20,
typedef struct {
b32 attr_type; // Attribute Type
ub16 record_length;
b8 name_length;
b8 name_offset;
b64 start_vcn;
b64 base_record_ref; // 文件记录号
ub16 attr_id;
} AttrList;
5、$FILE_NAME
常驻属性。通常情况下，一个文件只存在一个FILE_NAME属性，这种情况下，文件的基本属性与STANDARD_INFORMATION是保持一致的。
但是当文件系统结构变化时，如上图所示。或者当文件产生硬链接时，FILE_NAME属性都会增加。这种情况下，就需要对本属性做特殊处理。
// 文件名命名空间
typedef enum {
POSIX_STYLE = 0,
WIN32_STYLE,
DOS_STYLE,
WIN_DOS_STYLE,
} FileNameSpace;
// FILE_NAME = 0x30,
typedef struct {
b64 parent_ref; // 低6位存储当前文件记录号
b64 time_create; // 文件创建时间
b64 time_update; // 文件修改时间
b64 time_mft_change; // 文件记录修改时间
b64 time_access; // 文件访问时间
b64 byte_alloc; // 分配大小
b64 byte_use; // 实际使用大小
b32 flags; // 文件属性
b32 ea_flags; // 文件EA属性
ub8 filename_length; // 文件名长度（单位）：字符
b8 name_space; // 命名空间
} FileName;
6、$VOLUME_INFORMATION
常驻属性。通常情况下，卷信息属性只存储在Volume中。不需要特殊处理
// VOLUME_INFORMATION = 0x70,
typedef struct {
b8 resv1[8]; // 00
b8 major_ver; // major version 1--winNT, 3--Win2000/XP
b8 minor_ver; // minor version 0--win2000, 1--WinXP/7
ub16 flag; // mark
b8 resv2[4]; // 00
} VolumeInformation;
7、$DATA
常驻/非常驻属性。DATA属性用于存储文件本身的数据。当文件内容较少时，数据直接存储在DATA中。
当数据长度超过一定时，DATA中存储Data Runs，数据本身则异地存储。
注意：文件内容数据只存储在有名DATA属性中，因此通过DATA读取文件内容时需要对name_length进行判断。
8、$INDEX_ROOT
常驻属性。索引根节点通常由标准属性头，索引根属性头，索引属性头和索引属性组成。
索引根属性头决定当前块存储的索引类型。通常情况下，索引中存储的都是0x30文件名属性。
正如上图所示，绿色部分代表IndexEntry的头部，紧接着的红色部分和黄色部分就是去除了标准属性头之后的0x30属性，而最后的紫色部分则存储着子节点的VCN号。
typedef enum {
ENTRY_SUBNODE = 1, // 存在子节点
ENTRY_LAST = 2, // 叶子节点
} IdxEntryTypes;
// INDEX_ROOT = 0x90,
typedef struct {
// Index Root Header
b32 attr_type; // 属性类型
b32 collation_rule;
b32 index_size; // 索引块大小
b8 clusters_per_index; // Clusters per index block (same as Bpb?)
b8 padding[3]; // Padding
// Index Header
b32 entry_offset; // 第一个索引的偏移
b32 total_size; // 索引数据的总大小
b32 alloc_size; // Allocated size of the index entries
b8 flags; // 索引标志
b8 padding2[3]; // Padding
} IndexRoot;
typedef struct {
b64 mft_ref;
ub16 size; // 索引大小
ub16 stream_size; // 数据流长度
b8 flags; // 索引标志
b8 padding[3]; // Padding
// copy of body(without header) of attribute
/* Name | Index Of | Used By
* --------------------------------------
* $I30 | Filenames | 目录
* $SDH | Security Descriptors | $Secure
* $SII | Security Ids | $Secure
* $O | Object Ids | $ObjId
* $O | Owner Ids | $Quota
* $Q | Quotas | $Quota
* $R | Reparse Points | $Reparse
*/
b8 stream[1]; // align to 8
// VCN of the sub-node in the Index Allocation
} IndexEntry;
9、$INDEX_ALLOCATION
非常驻属性。INDEX_ALLOCATION的结构与INDEX_ROOT基本一致。唯一的差别在于一个是常驻属性，另一个是非常驻属性。
typedef struct {
// Index Record Header
b32 magic; // "INDX"
ub16 usn_offset; // offset of update sequence number
ub16 usn_size; // size of update sequence number and array, by words
b64 lsn; // $LogFile sequence number
b64 vcn; // vcn of this index block in the index allocation
// Index Header
b32 entry_offset; // Offset to the first index entry
b32 total_size; // Total size of the index entries
b32 alloc_size; // Allocated size of the index entries
b8 flags; // Non-leaf node Flag
b8 padding[3]; // Padding
} IndexBlock;
typedef struct {
b64 mft_ref;
ub16 size; // 索引大小
ub16 stream_size; // 数据流长度
b8 flags; // 索引标志
b8 padding[3]; // Padding
// copy of body(without header) of attribute
/* Name | Index Of | Used By
* --------------------------------------
* $I30 | Filenames | 目录
* $SDH | Security Descriptors | $Secure
* $SII | Security Ids | $Secure
* $O | Object Ids | $ObjId
* $O | Owner Ids | $Quota
* $Q | Quotas | $Quota
* $R | Reparse Points | $Reparse
*/
b8 stream[1]; // align to 8
// VCN of the sub-node in the Index Allocation
} IndexEntry;
