当前位置： 首页 > news >正文

NTFS0x90属性和0xa0属性和0xb0属性的一一对应关系是index_entry中的index_node中VCN和runlist和bitmap

news 2025/5/26 7:19:16

第一部分：

0: kd> dt _FILE_RECORD_SEGMENT_HEADER 0xc1241400
Ntfs!_FILE_RECORD_SEGMENT_HEADER
   +0x000 MultiSectorHeader : _MULTI_SECTOR_HEADER
   +0x008 Lsn              : _LARGE_INTEGER 0x80e74aa
   +0x010 SequenceNumber   : 5
   +0x012 ReferenceCount   : 1
   +0x014 FirstAttributeOffset : 0x38
   +0x016 Flags            : 3
   +0x018 FirstFreeByte    : 0x2b8
   +0x01c BytesAvailable   : 0x400
   +0x020 BaseFileRecordSegment : _MFT_SEGMENT_REFERENCE
   +0x028 NextAttributeInstance : 0xa
   +0x02a SegmentNumberHighPart : 0
   +0x02c SegmentNumberLowPart : 5
   +0x030 UpdateArrayForCreateOnly : [1] 0x131
0: kd> dt ATTRIBUTE_RECORD_HEADER 0xc1241400+38
Ntfs!ATTRIBUTE_RECORD_HEADER
   +0x000 TypeCode         : 0x10
   +0x004 RecordLength     : 0x48
   +0x008 FormCode         : 0 ''
   +0x009 NameLength       : 0 ''
   +0x00a NameOffset       : 0x18
   +0x00c Flags            : 0
   +0x00e Instance         : 0
   +0x010 Form             : __unnamed
0: kd> dt ATTRIBUTE_RECORD_HEADER 0xc1241400+38+48
Ntfs!ATTRIBUTE_RECORD_HEADER
   +0x000 TypeCode         : 0x30
   +0x004 RecordLength     : 0x60
   +0x008 FormCode         : 0 ''
   +0x009 NameLength       : 0 ''
   +0x00a NameOffset       : 0x18
   +0x00c Flags            : 0
   +0x00e Instance         : 1
   +0x010 Form             : __unnamed
0: kd> dt ATTRIBUTE_RECORD_HEADER 0xc1241400+38+48+60
Ntfs!ATTRIBUTE_RECORD_HEADER
   +0x000 TypeCode         : 0x40
   +0x004 RecordLength     : 0x28
   +0x008 FormCode         : 0 ''
   +0x009 NameLength       : 0 ''
   +0x00a NameOffset       : 0
   +0x00c Flags            : 0
   +0x00e Instance         : 9
   +0x010 Form             : __unnamed
0: kd> dt ATTRIBUTE_RECORD_HEADER 0xc1241400+38+48+60+28
Ntfs!ATTRIBUTE_RECORD_HEADER
   +0x000 TypeCode         : 0x50
   +0x004 RecordLength     : 0x48
   +0x008 FormCode         : 0x1 ''
   +0x009 NameLength       : 0 ''
   +0x00a NameOffset       : 0x40
   +0x00c Flags            : 0
   +0x00e Instance         : 2
   +0x010 Form             : __unnamed
0: kd> dt ATTRIBUTE_RECORD_HEADER 0xc1241400+38+48+60+28+48
Ntfs!ATTRIBUTE_RECORD_HEADER
   +0x000 TypeCode         : 0x90
   +0x004 RecordLength     : 0xe0
   +0x008 FormCode         : 0 ''
   +0x009 NameLength       : 0x4 ''
   +0x00a NameOffset       : 0x18
   +0x00c Flags            : 0
   +0x00e Instance         : 6
   +0x010 Form             : __unnamed
0: kd> dt ATTRIBUTE_RECORD_HEADER 0xc1241400+38+48+60+28+48+e0
Ntfs!ATTRIBUTE_RECORD_HEADER
   +0x000 TypeCode         : 0xa0
   +0x004 RecordLength     : 0x58
   +0x008 FormCode         : 0x1 ''
   +0x009 NameLength       : 0x4 ''
   +0x00a NameOffset       : 0x40
   +0x00c Flags            : 0
   +0x00e Instance         : 8
   +0x010 Form             : __unnamed
0: kd> dt ATTRIBUTE_RECORD_HEADER 0xc1241400+38+48+60+28+48+e0+58
Ntfs!ATTRIBUTE_RECORD_HEADER
   +0x000 TypeCode         : 0xb0
   +0x004 RecordLength     : 0x28
   +0x008 FormCode         : 0 ''
   +0x009 NameLength       : 0x4 ''
   +0x00a NameOffset       : 0x18
   +0x00c Flags            : 0
   +0x00e Instance         : 7
   +0x010 Form             : __unnamed
0: kd> dt ATTRIBUTE_RECORD_HEADER 0xc1241400+38+48+60+28+48+e0+58+28
Ntfs!ATTRIBUTE_RECORD_HEADER
   +0x000 TypeCode         : 0xffffffff
   +0x004 RecordLength     : 0
   +0x008 FormCode         : 0 ''
   +0x009 NameLength       : 0 ''
   +0x00a NameOffset       : 0
   +0x00c Flags            : 0
   +0x00e Instance         : 0
   +0x010 Form             : __unnamed


第二部分：

0: kd> db  0xc1241400+38+48+60+28+48+e0+58
c1241688  b0 00 00 00 28 00 00 00-00 04 18 00 00 00 07 00  ....(...........
c1241698  08 00 00 00 20 00 00 00-24 00 49 00 33 00 30 00  .... ...$.I.3.0.
c12416a8  03 00 00 00 00 00 00 00-ff ff ff ff 00 00 00 00  ................
c12416b8  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
c12416c8  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
c12416d8  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
c12416e8  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
c12416f8  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................


c12416a8  03 00 00 00 00

0011 0000 0000 0000    说明第一个vcn和第二个vcn都被使用

第三部分：

0: kd> db 0xc1241400+38+48+60+28+48+e0
c1241630  a0 00 00 00 58 00 00 00-01 04 40 00 00 00 08 00  ....X.....@.....
c1241640  00 00 00 00 00 00 00 00-01 00 00 00 00 00 00 00  ................
c1241650  48 00 00 00 00 00 00 00-00 20 00 00 00 00 00 00  H........ ......
c1241660  00 20 00 00 00 00 00 00-00 20 00 00 00 00 00 00  . ....... ......
c1241670  24 00 49 00 33 00 30 00-31 01 5d 71 51 31 01 8c  $.I.3.0.1.]qQ1..
c1241680  6a b0 00 e1 48 d9 17 ba-b0 00 00 00 28 00 00 00  j...H.......(...
c1241690  00 04 18 00 00 00 07 00-08 00 00 00 20 00 00 00  ............ ...
c12416a0  24 00 49 00 33 00 30 00-03 00 00 00 00 00 00 00  $.I.3.0.........

31 01 5d 71 51    长度为1：0x51715d是LCN号

31 01 8c 6a b0    长度为1：0xbo6a8c是LCN号

第四部分：

0: kd> dt index_root  0xc1241400+38+48+60+28+48+20
Ntfs!INDEX_ROOT
   +0x000 IndexedAttributeType : 0x30
   +0x004 CollationRule    : 1
   +0x008 BytesPerIndexBuffer : 0x1000
   +0x00c BlocksPerIndexBuffer : 0x1 ''
   +0x00d Reserved         : [3]  ""
   +0x010 IndexHeader      : _INDEX_HEADER
0: kd> dx -id 0,0,899a2278 -r1 (*((Ntfs!_INDEX_HEADER *)0xc1241580))
(*((Ntfs!_INDEX_HEADER *)0xc1241580))                 [Type: _INDEX_HEADER]
    [+0x000] FirstIndexEntry  : 0x10 [Type: unsigned long]
    [+0x004] FirstFreeByte    : 0xb0 [Type: unsigned long]
    [+0x008] BytesAvailable   : 0xb0 [Type: unsigned long]
    [+0x00c] Flags            : 0x1 [Type: unsigned char]
    [+0x00d] Reserved         [Type: unsigned char [3]]
0: kd> dt index_entry  0xc1241400+38+48+60+28+48+20+20
Ntfs!INDEX_ENTRY
   +0x000 FileReference    : _MFT_SEGMENT_REFERENCE
   +0x000 DataOffset       : 0xd4a
   +0x002 DataLength       : 0
   +0x004 ReservedForZero  : 0x10000
   +0x008 Length           : 0x88
   +0x00a AttributeLength  : 0x6e
   +0x00c Flags            : 1            //索引节点VCN    00000000 00000000
   +0x00e Reserved         : 0
0: kd> dd 0xc1241400+38+48+60+28+48+20+20+88-8
c1241610  00000000 00000000 00000000 00000000
c1241620  00000018 00000003 00000001 00000000
c1241630  000000a0 00000058 00400401 00080000
c1241640  00000000 00000000 00000001 00000000
c1241650  00000048 00000000 00002000 00000000
c1241660  00002000 00000000 00002000 00000000
c1241670  00490024 00300033 715d0131 8c013151
c1241680  e100b06a ba17d948 000000b0 00000028
0: kd> dt index_entry  0xc1241400+38+48+60+28+48+20+20+88
Ntfs!INDEX_ENTRY
   +0x000 FileReference    : _MFT_SEGMENT_REFERENCE
   +0x000 DataOffset       : 0
   +0x002 DataLength       : 0
   +0x004 ReservedForZero  : 0
   +0x008 Length           : 0x18
   +0x00a AttributeLength  : 0
   +0x00c Flags            : 3            //索引节点VCN    c1241628  00000001 00000000
   +0x00e Reserved         : 0
0: kd> dd  0xc1241400+38+48+60+28+48+20+20+88+18-8
c1241628  00000001 00000000 000000a0 00000058
c1241638  00400401 00080000 00000000 00000000
c1241648  00000001 00000000 00000048 00000000
c1241658  00002000 00000000 00002000 00000000
c1241668  00002000 00000000 00490024 00300033
c1241678  715d0131 8c013151 e100b06a ba17d948
c1241688  000000b0 00000028 00180400 00070000
c1241698  00000008 00000020 00490024 00300033

http://www.xdnf.cn/news/639649.html

相关文章：

  • 创建dummy
  • 基于diffusion的图像编辑与inpaint
  • pycharm管理项目python环境
  • TCP四次挥手，网络连接关闭的艺术
  • 【医学影像 AI】使用 PyTorch 和 MedicalTorch 实现脊髓灰质分割
  • 一步一图学信号可视化：用Python绘制多频率信号对比图
  • 数据结构 栈的详细解析
  • OC语言学习——Foundation框架回顾及考核补缺
  • JVM虚拟机
  • 在vue中重复组件导入简化方案
  • 2025年5月25日第一轮
  • 数据结构之图结构
  • vllm 2080TI ubuntu环境安装
  • PySide6 GUI 学习笔记——常用类及控件使用方法（常用类图标QIcon）
  • 【大模型应用开发】Qwen2.5-VL-3B识别视频
  • boost之preprocessor
  • 人工智能（AI）技术包括哪些技术
  • TCP 协议的相关特性
  • How to balance work and personal life?
  • 前端流行框架Vue3教程：28. Vue应用
  • PostgreSQL windows安装
  • Vue3编译器:静态提升原理
  • VBox共享文件夹
  • 2025一带一路暨金砖国家技能发展与技术创新大赛第三届企业信息系统安全赛项
  • Go语言--语法基础5--基本数据类型--循环语句
  • [ACTF新生赛2020]easyre
  • Bolt.new：重塑 Web 开发格局的 AI 利器
  • MFC：获取所有打印机的名称（打印机模块-2）
  • 【Siggraph Asia 2023】低光增强Diffusion-Low-Light-main（引入diffusion与DWT） -- part1论文精读
  • AutoGen SelectorGroupChat 示例：社会热搜话题事件榜单