瞭解NTFS中的$ ATTRIBUTE_LIST

Question

我正在檢查NTFS（新技術文件系統），並且一直停留在試圖找出$ ATTRIBUTE_LIST屬性的循環中。從this documentation開始，碰到一個$ ATTRIBUTE_LIST並不常見，只有在MFT表沒有空間時才使用它們。然而，看着下面的解析器，我發現他們並分析它：

• NtfsFileExtractor
• ntfs by icaleo
• zenwinx
• JkDefrag v3.36源代碼（使用谷歌搜索的一些發現）

從看這些，我想出了以下流程圖：

（應該有一個是肯定的「有$ ATTRIBUTE_LIST」的右側）

我想指的是2個進程的流程圖的右側。是否正確：

1. 該屬性僅在FRN與包含屬性列表FRN的文件不同時解析？
2. 該屬性被添加到文件中FRN列在屬性中，而不是包含屬性列表的FRN？或者，屬性中列出的FRN是否僅用於此文件記錄的屬性（而不是真正的文件）？

Answer 1

如果的MFT表正在運行的空間

這是不正確的，而且只使用。只要MFT 條目太大而無法保存所有屬性，就會使用它們。

該屬性僅在FRN與包含屬性列表FRN的文件不同時才被解析？

這取決於操作系統/軟件，我想，但它有點合理。雖然$ATTRIBUTE_LIST必須包含一個所有屬性的列表，但您可以通過簡單地解析整個MFT條目來枚舉「本地」屬性。例如，我的軟件RecuperaBit就是這樣做的。相反，您需要列表來確定「遠程」屬性存儲在哪個MFT條目中。

或者，FRN列出的屬性僅用於此文件記錄的屬性（而不是真正的文件）？

的MFT項包含在$ATTRIBUTE_LIST屬性不包含$DATA屬性，並沒有一個$FILE_NAME屬性，無論其數量。它不是一個文件，它只是一個額外的MFT條目。

---

注：我，因爲我用的是「居住」在一個混亂的方式來指基MFT表項中的屬性編輯答案。但是，常駐屬性的概念是不同的。