NTFS 一个MFT项为啥有两个一样的属性

lbiboy · 发表于 2013-9-16 10:41:25

如题，在分析MFT表项时发现有两个一模一样的属性，比如80，比如B0.搞不懂了，是备份吗？但在winhex界面会提示 in file record slack
如图：

haobinnan · 发表于 2013-9-16 11:03:40

后面的是没有用的，这个文件记录曾经比较大，然后某些原因文件记录就缩小了，比如修改文件名，以前很长，后来把文件名修改断了，这样文件记录就缩小了，后面没有清零，所以你才会看到两个。
你看一下文件记录头，就知道他真正到什么地方结束FFFFFFFF00000000后面都没用。

lbiboy · 发表于 2013-9-16 11:40:43

haobinnan 发表于 2013-9-16 11:03
后面的是没有用的，这个文件记录曾经比较大，然后某些原因文件记录就缩小了，比如修改文件名，以前很长，后 ...

原来这样啊，谢谢了

onllno · 发表于 2013-10-26 10:25:54

非常感谢。

sunqianzu · 发表于 2014-7-1 15:32:25

解决了疑惑，谢谢啦

[求助] NTFS 一个MFT项为啥有两个一样的属性