有谁能帮我分析一下这个文件记录

tclcm056 · 发表于 2008-7-19 13:04:32

我想在这个文件记录中找到文件中文件的文件记录的起始[wiki]簇[/wiki].已经研究了很长时间了,

这个文件夹里面有一个叫lcm.doc的文件。我就是要找他的起始簇号，就是不知道哪个偏移是。

jjgms001 · 发表于 2008-7-19 22:37:24

是不是应该先搜索lcm.doc在mft中的位置啊

love200052 · 发表于 2008-7-19 23:15:13

lcm.doc的文件在$MFT的记录号为1F（第31个）记录中找该文件的$80属性中找文件的起始簇吧

rainhe · 发表于 2008-7-20 01:02:29

80属性里有run list，找到这个文件的MFT，80属性里找，

tclcm056 · 发表于 2008-7-20 09:02:44

可是这是一个文件夹,里面没有80属性啊!

tclrz100e · 发表于 2008-7-20 17:31:30

文件夹里好像没有80属性，一般有90、A0　B0属性，如果这个文件夹里的文件或者文件夹比较少，只有A0属性，A0属性中放的就是这个文件夹中的文件或者文件夹的一些数据（主要是文件或者文件夹的30属性中的一些内容），如果文件夹里的文件或者文件夹比较多时，会出现A0和B0属性。90属性和B0属性总是常驻属性，A0属性总是非常驻属性。你这个文件夹中只有一个文件，所以这个文件的一些数据放在90属性中，没有A0属性和B0属性（A0属性和B0属性是同时出现的）。A0属性中只有这个文件的MFT参考号、父目录的MFT文件参考号、文件建立　修改　存取时间、文件大小、文件名等信息，所以在这里是找不么这个文件内容是占用哪些簇，如果要知道这个文件的内容，可以从文件的MFT参考号那儿开始找（如果想从文件夹这条线索找的话），从90属性中的索引项的内容可以看出：lcm.doc这个文件的MFT参考号是20H，换成10进制是32。所以现在你可以在第32个文件记录那儿找到你要的答案。下图是对你的图做了部分的标注，仅供参考！！