关于NTFS-MFT

一个ntfs文件系统由引导扇区、MFT（包含MFT元数据）和数据区组成。

NTFS中存储了两份MFT备份以防MFT文件损坏，两个MFT备份的具体起始位置都存储在引导扇区中。

引导扇区是从NTFS文件系统的第一个扇区开始，以55 AA结尾。我们主要关注前88字节的信息，其中重要的就是“NTFS”标识、扇区大小、每簇扇区数、MFT起始簇以及MFT备份MFTMirr位置这些信息。我们可以根据MFT起始簇信息找到MFT，或者根据MFT备份MFTMirr位置找到MFT的另外一个MFT备份。如下图所示：

MFT是什么，什么作用？

在NTFS中，整个卷的所有文件信息（包括MFT本身、数据文件、文件夹等等）都存储在MFT。每一个文饥枝件在 MFT 中都有一个或多个 MFT 项记录文件属性信息。而且每项大小是固定的(一般为1KB)，MFT保留了前16项用于特殊文件记录，称为元数据。

可以根据MFT快速的找到文件的详细信息和具体位置等。

一个MFT项包括MFT头和关于文件的4条属性，以FF FF FF FF结尾。

在一个MFT项中前56字节是MFT头部信息，其中比较重要的是FILE标识、第一个属性的偏移和flags。

flags显示了此文件是否是正常文件，或者是删除文件等。

每条属性都包含属性头和属性结构。每条属性的前4字节显示该属性的类型，不同类型的属性有不同的属性结构。

具体属性头的大小根据是否是常驻属性来进行计算。

是否是常驻属性根据属性头的第9个字节判断，1为非常驻，0为常驻。

如果是非常驻属性，属性头大小为64；如果是常驻属性，属性头大小为24字节。

常驻和非常驻的区别：

常驻属性是直接保存再MFT中，非常驻属性保存再MFT之外的其他地方。如果文件或文件夹小于1500字节，那么它们的所有属性，包括内容都会常驻在MFT中。

不同类型烂正敏的属性有不同的属性结构，这里主要介绍10H属性、30H属性和80H属性。

关于文件传统属性，对照下表：

这个属性比较重要，包含了文件的详细资料和父目录的参考号等。根据父目录参考号可以知道文件之间的父子关系，从而构建文件的子父关系。

其实在10H属性中已经描述了文件的部分信息(时间、标志等)，30H属性主清侍要关注父目录的参考号、文件名命名空间和文件名。

NTFS通过为一个文件创建多个30H属性实现POSIX (Portable Operating System Interface, 可移植 *** 作系统接口) 式硬连接，每个30H属性都有自己的详细资料和父目录；一个硬连接删除时，就从MFT中删除这个文件名，最后一个硬连接被删除时，这个文件就算是真正被删除了。

LCN(logical cluster number)：整个文件卷的相对位置，单位(簇)。

VCN(virtual cluster number)：文件内部的相对位置，单位(簇)。

每个运行列表中第一个字节的低4位表示运行簇大小（filesize）的len，高4位表示起始簇（start）的len。如果一个运行列表后面的第一个字节是00，说明运行列表结束，后面的数值暂时不用管；如果不是00，则是下一个运行列表开始。

0x00~0x3F 是属性头；运行列表在橘黄色框中，0x40开始，可以得到运行列表 33 40 BC 00 00 00 0C。

分析如下:

首先0x33，低4位是3，表示紧随其后的3Byte 0xBC40作为运行簇大小（簇个数），即文件所占总大小；高4位是3，表示簇大小之后的3个Byte 0x0C0000 是起始簇，即文件起始，这里是说的是LCN。

分析如下：

第一个运行列表，首先是0x31，低4位是1，表示紧接着的1Byte(03)是运行簇大小；高4位是3，表示紧接着3Byte(65 9A 00)是起始簇，这里说的是LCN；

第二个运行列表，首先是0x11，低4位是1，表示紧接着的1Byte(01)是运行簇大小；高4位是1，表示紧接着3Byte(13)是起始簇，这里说的是VCN。

注意，只有第一个运行列表的起始簇说的是LCN，从第二个运行列表开始每个运行列表的起始簇都说的是VCN。想要得到LCN需要按下面的公式计算：

第n个运行列表的LCN = 第一个运行列表的起始簇(LCN) + 第二个运行列表的起始簇(VCN) +...+第n个运行列表的起始簇(VCN)

1、从引导扇区找到“MFT起始簇”或者”MFT备份MFTMirr位置“；

2、根据“MFT起始簇”或者”MFT备份MFTMirr位置“找到第一个MFT项（1KB），第一个MFT项就是$MFT的属性内容；

3、在第一个MFT项中找到80H属性，根据80H属性的属性结构找到文件起始和总大小；

4、上面3找到的就是MFT文件的起始和总大小了。

MFT文件是对NTFS中全部MFT（卷上的所有文件，包括文件名、时间戳、流名和数据流所在的群集号列表、索引、安全标识符以及诸如“只读”、“压缩”、“加密”之类的文件属性）的存储，可以根据MFT文件快速的查找卷上的所有文件；而MFTMirr文件是对MFT文件中比较重要项的复制，一般是4KB。

参考：

https://www.cnblogs.com/mwwf-blogs/archive/2015/05/04/4467687.html

https://en.wikipedia.org/wiki/NTFS#Master_File_Table?tdsourcetag=s_pcqq_aiomsg

https://wenku.baidu.com/view/f204bb89e518964bce847cae.html

备注：如果想了解其他类型的属性，详见参考文章。

mft是什么

mft是什么？在日常生活中，我们总能听到有些人英文的单词，每个单词的意思都不一样，有一些又包含了多种意思。我已经为大家搜集和整理好了mft是什么的相关信息，一起来看看吧。

mft是什么1

MFT有五种不同释义，具体如下：

1、MFT：主文件表(Master File Table)

MFT，即主文件表（Master File Table）的简称，它是NTFS文件系统的核心。MFT由一个个MFT项（也称为文件记录）组成，每个MFT项占用1024字节的空间。每个MFT项的前部几十个字节有着固定的头结构，用来描述本MFT项的相关信息。

2、MFT：主燃料跳闸

MFT，全称是Main Fuel Trip，中文名为主燃烧跳闸，是锅炉安全保护的核心内容。它的作用是连续监视预先确定的各种安全运行条件是否满足，一旦出现可能危及锅炉安全运行的工况，就快速切断进入炉膛的燃料，避免事故发生。

3、MFT：涂料的重要指标

MFT（涂料的重要指标）一般指最低成膜温度。最低成膜温度，是干混砂浆的重要指标，英文缩写MFT。VAE可再分散乳胶粉的最低成膜温度一般都在0℃～10℃之间，但比较常见的是5℃，在此温度上，乳胶粉呈现连续的膜，反之，在此温度以下，乳胶粉的.膜就不再连续，出现了断裂的情况。

4、MFT：健身课程

MFT（Martial Fitness Training）的全称为“格斗健身训练课程”，是一种使用格斗训练的方法来达到健身效果的训练方法。

5、MFT：大文件传输(Managed File Transfer)

Managed File Transfer (“MFT”)是一种安全的数据传输软件，是通过网络从清桥一台计算机到另一台计算机的数据传输。

mft是什么2

什么是MFT文件？

该MediaFACE项目模板被存储在MFT格式，并贴有MFT扩展，并用于通过MediaFACE。这些MFT文件一般分为含有大量的盘，套，或用于自定义光盘标签和嵌件的情况下创建和打印在一张纸上脊柱标签模板页面布局文件。该MediaFACE应用程序是从事光盘，DVD光盘，MiniCDs，以及小型磁盘的标签商业软件。它的特点是500背景图像画廊（图片库）被用作背景的标签，以及允许答友猛用户自定义，并通过使用图形工具嵌入在应用程序中使用自己的图像。选择项目模板命令打开，一旦设计向导进行访问。该设计向导允许用户编辑和查看创建的标签。该NEATO MediaFACE软件可以用来在Microsoft Windows访问和查看MFT文件。

如何打开MFT文件？

推出 .mft 文件，或者你的电脑上的任何其他文件，双击它。如果你的文件关联的设置是否正确，这意味着应用程序来打开你的 .mft 文件将其打开。这是可能的，你可能需要下载或购买正确的应用程序。这也有可能是你有正确的应用程序在PC上，但 .mft 文件还没有与它相关联。在这种情况下，当您尝试打开一个 .mft 文件，你可以告诉Windows的应用程序是正确的该文件。从这时起，打告颂开 .mft 文件将打开正确的应用程序。

---