在NTFS文件系統MFT在哪裏

Question

我想知道是否處處找到FF FF FF FF它表示一個MFT塊。因爲here他們說：

你可以很清楚地看到文件標記的0xFFFFFFFF的結束將標記 新的MFT項的末尾（字節偏移量504）。

Answer 1

不完全是。所有MFT條目都與羣集或文件記錄大小對齊，該大小是磁盤扇區大小的倍數。通常，MFT中的文件記錄長度爲1024字節，文件記錄的大小和MFT的偏移量存儲在卷的第一個扇區中，其結構稱爲NTFS BIOS參數塊。您可以在ReactOS源代碼here中找到該結構。

所有MFT文件條目在偏移0處具有幻數（例如FILE或BAAD）。 MFT的確切大小可以通過解析MFT的第一個文件記錄的屬性來獲得，MFT本身就是MFT。未命名的非駐留數據屬性包含整個MFT的大小以及磁盤上碎片的數據運行。

該文章談到的0xFFFFFFFF可在最後一個屬性的類型字段中找到，該字段表示文件記錄屬性的結尾。這會浪費時間，並且不完全準確地解析這個值，因爲其他文件可能包含它。