《NTFS文件系统扇区存储探秘》——第1章 FAT文件系统的数据结构 1.1 主引导记录

简介:

本节书摘来自异步社区《NTFS文件系统扇区存储探秘》一书中的第1章,第1.1节,作者:宋群生 , 宋亚琼著,更多章节内容可以访问云栖社区“异步社区”公众号查看

第1章 FAT文件系统的数据结构

NTFS文件系统扇区存储探秘
硬盘在分区以后,其每一个逻辑驱动器都必须建立起完整的数据结构,才能正常使用。FAT文件系统和NTFS文件系统的数据结构大部分都不相同,只在存储系统分区数据的扇区上,有某些相同或相似的地方。

FAT文件系统的数据结构由6部分组成,分别是主引导记录、主分区表或分区链表、分区引导记录、文件分配表、文件目录表和数据区。这里需要说明的是,主引导记录和主分区表都只有一个,共同存储在一个扇区中。如果使用CHS(柱面数、磁头数、扇区数)寻址方式,这个扇区是0柱面0磁头1扇区;如果使用线性寻址方式,这个扇区是0号扇区。从硬盘分区后的区域结构上划分的话,该扇区可以认为是属于第1个逻辑驱动器,也就是通常所说的C盘。而其他的逻辑驱动器就没有主引导记录和主分区表了,在这些逻辑驱动器所属的第1个系统隐藏扇区上,只有分区链表。

NTFS文件系统的数据结构中,用于系统引导的部分基本与FAT文件系统相同,如主引导记录、主分区表或分区链表、分区引导记录这3部分。不过在这3部分中,很多字段的数据所表示的内容是完全不同的,只是都有相同的称呼罢了。

FAT文件系统的另外3部分,即文件分配表、文件目录表和数据区,在NTFS文件系统中则不存在。NTFS文件系统使用的是“磁盘上的任何事物都为文件”的存储模式,甚至连系统使用的引导文件数据,都作为文件存储在磁盘上。

了解文件系统的数据结构和扇区存储规律,是对物理硬盘扇区进行读写操作的基础,也是将扇区读写技术应用于系统修复和文件恢复的先决条件。因为一个硬盘上有很多逻辑驱动器,这些逻辑驱动器可能使用不同的文件系统,而对于不同的文件系统,读写与分析扇区数据的方法是完全不相同的。

本章先介绍FAT文件系统的数据结构。

1.1 主引导记录

NTFS文件系统扇区存储探秘
硬盘的主引导记录也称MBR,存储在0柱面0磁头1扇区。如果读写扇区时采用线性寻址方式,则该扇区的编号为“0”。在本书后面的章节里,扇区地址全部使用线性寻址方式来表示。该扇区的512字节有3部分内容,除了主引导记录外,还有分区表和结束标志55 AA。

主引导记录的作用非常重要,它是硬盘启动时最先加载的扇区数据。下面通过分析硬盘的启动过程,来说明它的重要性。

(1)计算机系统接通电源以后,主板BIOS加电进行自检。自检的内容很多,是一个很复杂的过程,这里只介绍与硬盘有关的部分。

(2)将硬盘第1个扇区,也就是0柱面0磁头1扇区(线性寻址时是0号扇区)的内容

读入内存。

(3)检查结束标志,也就是扇区最后两个字节的值是否等于“aa55H”(存储顺序是低字节在前,高字节在后)。若不等则打印屏幕提示,然后死机。

(4)执行主引导记录中的程序,将控制权转交给主引导程序。

(5)主引导程序首先将自己读入内存,然后查找在分区表中是否有活动分区。找到活动分区以后,将分区引导记录读入内存。

(6)检查结束标志是否等于“aa55H”,然后执行分区引导记录中的启动程序,将控制权交给操作系统。

(7)操作系统加载系统文件,计算机启动。

通过对以上过程的分析可以看出,如果主引导记录不正常,后面所有的启动过程都不可能正常执行。

有一种特殊情况,使计算机启动过程的前两步与上面介绍的不一样。如果硬盘上安装了多系统引导软件,如Partition Magician分区软件,则该软件将主引导记录替换成自己的一段程序。这段程序将BIOS引向软件设置的专用分区,然后根据操作者的选择激活某一个分区,再进入正常的启动过程。类似Partition Magician这样的分区软件还有很多,它们各有自己的特点,这些第三方软件都不在本书的讨论范围之内。通常情况下,一块硬盘上只有一个主引导记录。

现在用“读硬盘扇区数据.EXE”程序将一块硬盘的主引导记录读出,程序运行界面如图1-1所示。“读硬盘扇区数据.EXE”程序将在《工具篇》中介绍,现在先使用该程序的运行结果。

screenshot

图1-1所示的左图是程序运行的主窗口。在主窗口的编辑框中显示了数值“10084”,这是主引导记录所在扇区中,全部字节的累加算术和。为什么要取这个数值的原因将在《工具篇》中详细说明。

图1-1所示的右图是程序运行后弹出的对话框。该对话框中显示了512字节的十六进制值,每行显示16字节,共显示32行。

在图1-1中,位移从00H到1bdH就是主引导记录。如果用扇区内的字节编号来表示某一字节,设起始号为1,就是从第1到第446字节。为什么要使用位移和扇区内编号这两种计算方式呢?因为在今后分析扇区数据时,或者是手工编制扇区中的字节数据时,某些场合用编号计算是比较方便的。

譬如在《工具篇》中介绍的“修改扇区文件数据.EXE”程序,可以将每个扇区的512字节,按照每行16字节,一共32行的格式显示在屏幕上。如果从1开始编号,则感觉很有对称性,容易查找某一字节。如果用位移值计算,就感觉不太方便。

字节位移是从0开始计数,而字节编号是从1开始编号,所以对同一字节来说,字节编号的值要比字节位移的值大1。

位移从1beH到1fdH是分区表,字节编号为447到510。有关分区表的内容在下一节讨论。

最后两字节是结束标志“55 AA”。因为两字节组成一个字,写入磁盘的顺序是低字节在前,高字节在后,所以“55 AA”写成十六进制应为“aa55H”。

结束标志“55 AA”是查找系统数据扇区的标志,据此对扇区进行搜索,可用于寻找主引导记录、主分区表或分区链表所在的扇区地址,也可以具此查找分区引导记录的扇区地址。

主引导记录扇区所在的磁道,通常称为0磁道,它属于隐藏磁道,这个磁道的63个扇区属于隐藏扇区。操作系统的所有命令,除了FDISK以外都不能访问它们。就连格式化程序FORMAT,对这些隐藏扇区也无能为力。

主引导记录和主分区表的数据,只占用了0磁道的第1个扇区,系统对其他的62个扇区弃之不用。正因为如此,0磁道的剩余62个扇区就成了一些病毒程序代码、操作系统的引导代码、应用软件用于自我保护的识别标记、BIOS功能扩展程序代码的栖息之地。

经常监测并分析0磁道的扇区数据变化,就能发现很多不为人知的秘密,作者举一例来说明这个问题。

美国的MACROMEDIA公司堪称网页制作软件的鼻祖,该公司的三大软件颇具影响力。这三款软件是:网页制作软件DREAMWEAVER MX、图象处理软件FIREWORKS MX和动画制作软件FLASH MX。

这三款软件有试用版,从操作者安装使用开始,时间限制为30天。超过试用期后,软件就不能运行了。即使重新安装操作系统和这三款软件,甚至将硬盘格式化或重新分区,也无济于事。

那么这三款软件采用了什么保护机制呢?作者通过对0磁道扇区数据的监测,发现了这三款软件的一个秘密。

这三款软件中的每一款软件安装以后,都会向0磁道的第32扇区写入一部分识别代码。当操作者对逻辑盘进行格式化,或是对整个硬盘重新分区时,所运行的程序都不会访问第32扇区,所以软件的时间限制仍然有效。

作者用扇区清零程序将32扇区的数据清掉,然后再安装这三款软件的试用版,则可以继续使用了。

采取这种保护方式的软件还有很多,只要经常监测0磁道并用心去分析,就能发现许多不为人知的秘密。

下面用作者使用的两块硬盘运行“监视0磁道变化.EXE”程序,将两块硬盘的0磁道63个扇区的数据分别读出,然后进行比较。所使用的工具程序在《工具篇》中再详细介绍。

先看一块新硬盘的显示数据,如图1-2所示。

screenshot

图1-2所示的扇区编号没有使用线性寻址的表示方法,而是使用了1~63的编号方式,这是为了强调在硬盘的结构中,每磁道有63个扇区的虚拟物理概念。

从图1-2所示的扇区字节算术和可以看出,只有第1扇区写有数据,其他62个扇区全部为0。这是因为该硬盘使用不久,还没有写入其他程序的垃圾代码。

再看一块老硬盘的显示数据,如图1-3所示。

如图1-3所示,除了第1扇区写有系统引导数据以外,还有很多扇区也写有数据。与第1扇区字节算术和相同的,如第6扇区,是作者备份的系统数据,目的是日后出现引导故障时修复硬盘。与第1扇区字节算术和不相同的扇区,就是硬盘使用三年多来,各种应用软件写入的垃圾代码。

screenshot

相关文章
|
23天前
|
存储 C语言
【数据结构】线性表的链式存储结构
【数据结构】线性表的链式存储结构
16 0
|
23天前
|
存储 vr&ar
数据结构的图存储结构
数据结构的图存储结构
25 0
|
23天前
|
存储 NoSQL 算法
【Redis技术进阶之路】「底层源码解析」揭秘高效存储模型与数据结构底层实现(字典)(二)
【Redis技术进阶之路】「底层源码解析」揭秘高效存储模型与数据结构底层实现(字典)
36 0
|
23天前
|
存储 NoSQL Redis
作者推荐 |【Redis技术进阶之路】「原理系列开篇」揭秘高效存储模型与数据结构底层实现(SDS)(三)
作者推荐 |【Redis技术进阶之路】「原理系列开篇」揭秘高效存储模型与数据结构底层实现(SDS)
21 0
|
24天前
|
存储 SQL Java
bigdata-18-Hive数据结构与存储格式
bigdata-18-Hive数据结构与存储格式
21 0
|
1月前
|
存储 算法 C语言
【数据结构】— —邻接矩阵和邻接表存储图结构
【数据结构】— —邻接矩阵和邻接表存储图结构
19 0
|
2月前
|
存储 缓存 NoSQL
Redis数据结构的奇妙世界:一窥底层存储机制【redis第一部分】
Redis数据结构的奇妙世界:一窥底层存储机制【redis第一部分】
70 0
|
3月前
|
存储 NoSQL 关系型数据库
Redis Set 用了 2 种数据结构来存储,到现在才知道
Redis Set 用了 2 种数据结构来存储,到现在才知道
37 0
|
3月前
|
存储 算法
数据结构——堆(存储完全二叉树)
数据结构——堆(存储完全二叉树)
24 0
|
3月前
|
存储 算法 C语言
数据结构——二叉树的基本概念及顺序存储(堆)
数据结构——二叉树的基本概念及顺序存储(堆)
45 0

热门文章

最新文章