词汇 |
这是允许系统导入的系统文件,此元数据文件指向卷的引导扇区。它包含关于卷的大小,簇和MFT的信息。它是位于一个不能被重定位的文件。
类型 | 描述 | 名称 |
---|---|---|
0x10 | $STANDARD_INFORMATION | |
0x30 | $FILE_NAME | $Boot |
0x50 | $SECURITY_DESCRIPTOR | |
0x80 | $DATA | [Unnamed] |
偏移量 | 大小 | 描述 |
---|---|---|
0x0000 | 3 | 跳到引导载入器程序 |
0x0003 | 8 | 系统标识符:"NTFS " |
0x000B | 2 | 每个扇区的字节数 |
0x000D | 1 | 每个簇的扇区数 |
0x000E | 7 | 未用 |
0x0015 | 1 | 媒体描述符(a) |
0x0016 | 2 | 未用 |
0x0018 | 2 | 每个磁道的扇区数 |
0x001A | 2 | 磁头数 |
0x001C | 8 | 未用 |
0x0024 | 4 | 一般是 80 00 80 00 (b) |
0x0028 | 8 | 卷的扇区数 |
0x0030 | 8 | LCN of VCN 0 of the $MFT |
0x0038 | 8 | LCN of VCN 0 of the $MFTMirr |
0x0040 | 4 | 每个MFT记录的簇(c) |
0x0044 | 4 | 每个索引记录的簇(c) |
0x0048 | 8 | 卷的系列号 |
~ | ~ | ~ |
0x0200 | Windows NT 载入器 |
(a) 一个0xF8的媒体描述符表示一个硬盘
(b) 在USB拇指驱动器上看到一个80 00 00 00的值,它在windowXP下和NTFS一起格式化。注意它是可移动的媒体并且没有被分区,此驱动器整体被NTFS格式化。
(c)可能是负的,表示MFT/index记录的大小小于一簇。这种情况下MFT/index记录的字节大小等于2^(-1 *每个MFT/Index记录的簇数)。例如,如果每个MFT记录的簇数是0xF6(十进制是-10),那么MFT记录大小为2^(-1 * -10) = 2^10 = 1024字节。
除了未用领域被零化外,前40个字节和FAT引导扇区相同
因为文件以引导扇区开始,所以它必须在0物理簇起始(这是NTFS唯一不能移动的簇)。这样就迫使文件的数据属性是非常驻的。从而引导扇区的拷贝可以定位于卷上的任何位置。
出于破损恢复目的,windowsNT3.51保存了引导扇区的拷贝,把它放在卷的逻辑中心。WindowsNT和后来的版本把它放在卷的结尾。