词汇

文件 - $Boot (7)

前一页 后一页

概述

这是允许系统导入的系统文件,此元数据文件指向卷的引导扇区。它包含关于卷的大小,簇和MFT的信息。它是位于一个不能被重定位的文件。

属性

类型 描述 名称
0x10 $STANDARD_INFORMATION  
0x30 $FILE_NAME $Boot
0x50 $SECURITY_DESCRIPTOR  
0x80 $DATA [Unnamed]

文件结构

未命名数据流

偏移量 大小 描述
0x0000 3 跳到引导载入器程序
0x0003 8 系统标识符:"NTFS    "
0x000B 2 每个扇区的字节数
0x000D 1 每个簇的扇区数
0x000E 7 未用
0x0015 1 媒体描述符(a)
0x0016 2 未用
0x0018 2 每个磁道的扇区数
0x001A 2 磁头数
0x001C 8 未用
0x0024 4 一般是 80 00 80 00 (b)
0x0028 8 卷的扇区数
0x0030 8 LCN of VCN 0 of the $MFT
0x0038 8 LCN of VCN 0 of the $MFTMirr
0x0040 4 每个MFT记录的簇(c)
0x0044 4 每个索引记录的簇(c)
0x0048 8 卷的系列号
~ ~ ~
0x0200   Windows NT 载入器

(a) 一个0xF8的媒体描述符表示一个硬盘
(b) 在USB拇指驱动器上看到一个80 00 00 00的值,它在windowXP下和NTFS一起格式化。注意它是可移动的媒体并且没有被分区,此驱动器整体被NTFS格式化。
(c)可能是负的,表示MFT/index记录的大小小于一簇。这种情况下MFT/index记录的字节大小等于2^(-1 *每个MFT/Index记录的簇数)。例如,如果每个MFT记录的簇数是0xF6(十进制是-10),那么MFT记录大小为2^(-1 * -10) = 2^10 = 1024字节。

注意

其他信息

除了未用领域被零化外,前40个字节和FAT引导扇区相同

因为文件以引导扇区开始,所以它必须在0物理簇起始(这是NTFS唯一不能移动的簇)。这样就迫使文件的数据属性是非常驻的。从而引导扇区的拷贝可以定位于卷上的任何位置。

出于破损恢复目的,windowsNT3.51保存了引导扇区的拷贝,把它放在卷的逻辑中心。WindowsNT和后来的版本把它放在卷的结尾。


Online 中文在线 Validate HTML Validate CSS $Id: boot.html,v 1.13 2001/07/11 16:31:44 flatcap Exp $