中国人民大学学报（自然科学版）！Ｑ！Ｑ±釜！塑堕！：！兰Ｑ！Ｑ』！！翌型垡垦塾ｉ翌！！！旦！！仑！！：！里竺垒！呈！墨！！！受堕型！ｉ！！望！！！（曼尘！璺！！！坠曼！！！皇璺！！！墅！整笙垒！塑曼！里垒三ＮＴＦＳ文件系统文件存贮分析陶永红１，（１．浙江学院。浙江杭州何明２３ｌ００２０）３１００５３；２．浙江省厅高速公路交警总队，浙江杭州摘要ＮＴＦＳ文件系统是ｗＩＮＤ０ｗＳＮＴ借鉴ＤＯＳ的机制，采用的更为安全可靠的文件系统，目前在个人电脑中被广泛使用。分析ＮＴＦｓ文件系统对文件的管理机制，研究文件及其目录项在计算机操作过程中产生和变化规律，发现了应用程序在创建、修改或删除文件的过程中，会产生大量的残留目录项，这些残留目录项在很长一段时间里不会消失。分析这些残留目录项可掌握当事人对计算机及相关程序、文档的操作过程，是发现计算机中电子物证的重要方法。关键词计算机侦查；电子物证；数据存储；文件系统中图分类号ＴＰ３１６．８６主分区（通常是ｃ盘）和一个扩展分区。扩展分区再分成Ｏ引言多个逻辑盘（如Ｄ、Ｅ、Ｆ盘等）。ｗｉｎｄｏｗｓｘＰ在格式化逻辑随着计算机软硬件的迅速发展，计算机取证技术也日新月异，取证与反取证的斗争也越来越突出。因此，研究计算机取证技术对打击犯罪、保护人民具有重要的意义。盘过程中就要选择文件系统，目前个人计算机上使用较多的是ＦＡｌｒ３２和ＮＴＦｓ文件系统。ＮＴＦｓ文件系统是ｗＩＮＤ０ｗｓＮＴ借鉴ＤＯＳ的机制。而采用的更为安全可靠的文件系统。与ＦＡＴ３２文件格式相计算机在操作过程中会创建、修改、移动、删除许多文件，每个文件在磁盘中都有对应目录项，而每个目录项中包含文件名、扩展名、创建时间、修改时间、访问时间、文件首地址、文件长度等重要信息。许多文件在每次复制、修改、移动、删除等操作过程中都会产生新的目录项，同时旧目录项在一定时间内会残留在磁盘中。研究这些目录项变化规律能了解当事人对计算机及相关程序、文档的操作过程，是我们掌握证据的重要方法。本文使用常用工具软件对ＮＴＦｓ文件系统中这些残留目录项及数据进行分析，从而提出发现ＮＴＦｓ文件系统中的残留目录项和数据的方法。这对计算机比，ＮＴＦＳ文件格式有更多新的特点。是Ｗｉｎｄｏｗｓ２０００、ｗｉｎ．ｄｏｗｓＸＰ、ＷｉｎｄｏｗｓＳｅｒｖｅｒ２００３、Ｗｉｎｄｏｗ８Ｓｅｎｒｅｒ２００８、ＷｉｎｄｏｗｓＶｉｓｔａ和ｗｉｎｄｏｗｓ７的标准文件系统。在ＮＴＦＳ分区中，最开始的１６个扇区是分区引导扇区，其中保存着分区引导代码，接着就是主文件表文件ＭＦＴ（ＭａｓｔｅｒＦｉｌｅＴａｂｌｅ）。ＭＦＴ文件由许多ＭＦＴ项组成，每一个文件对应ＭＦＴ文件中的一个ＭＦＴ项，每个ＭＦＴ项大小固定为ｌＫ。ＮＴＦｓ文件系统将文件内容分为常驻属性和非常驻属性。小于ｌＫ的文件其目录项和数据都作为常驻属性保存在ＭＦＴ项中。大于ｌＫ的文件或文件夹其目录项作为常驻属性保存在ＭＦＴ项中，而数据作为非常驻属性保电子物证的发现与获取具有一定实际意义。１基本原理存在ＭＦＴ文件外分配的一个运行区中，如果以后非常驻属性值又增加，那么将会再分配一个运行。Ｍ盯文件中前１６个ＭＦＴ项是操作系统使用的非常重要的元数据文件。这些元数据文件的名字都以“ＭＹＭ”开始，所以是隐藏文件，在ｗｉｎｄｗ８ｘＰ中不能像普通文件一样显示。只能使用一些工具软件，如ｗｉｎＨｅｘ才可以显示这些文件。其后的７个ＭＦｌ’项系统保留作为以后升级使用。用户文件从第２４个Ｍｒｒ项开始使用。２分析方法以下是在ＷｉｎｄｏｗｓｘＰ操作系统中，使用ｗｉｎＨｅｘ工具磁盘在存储数据之前首先要对磁盘进行分区，然后对分区进行格式化建立相应的文件系统，各分区经格式化操作后才能存贮数据。根据使用操作系统的不同，分区的类型也不同，常用的有Ｄ０ｓ分区、Ａｐｐｌｅ分区、ＢＳＤ分区、ｓｕｎＳｏｌ撕８分区、ＧＰＴ分区及其他特珠的移动介质分区。分区是由磁盘上的连续扇区组成的，ｗｉｎｄｏｗ８下使用的是Ｄ０ｓ分区。在一台微型计算机上安装操作系统时（如Ｗｉｎｄｏｗ８ｘＰ），首先在物理磁盘上创建分区，同时在磁盘的第一个扇区产生主引导区，主引导区包含主引导程序和分区表。主引导区中的分区表最多能定义四个分区。把磁盘分为一个作者简介・５８・陶永红（１９６３一），男，教研室主任，硕士，浙江省厅物证签定中心电子物证检测员。研究方向为数据恢复。万方数据自￥“Ｈｑ：ＮＴＦｓ￡＊ｔ＊ｉ＃＃Ｐ》＊轵＊ｎ＊ＮＴＦ５ｉ＊§‰－ｐＲ件∞存￡＆＃。目月＃￥女＃日ｍｗ日ｄ２００３＆ｎ￥￥Ｆ４。２１ｔＡ＃＊查§ｉ女”…１￡ｍａ咖一ｊ＊№十镕＃＊＆（目ＲⅢ≮）．＃十【ｌＩｌｌｌ㈨ｍｒＩＫ，＃＆据柞∞＊＃Ａ＃％自｛Ｍ阿ｍ十（１０。《），∞目Ｉｉ＊∞ｄ４ｇｍ。２２ｍｈｔ＾ｆｌＫ，＃…ｌｌｌ＆ｍ目ｉ目４女＃女＊一，月Ｅ＃￥４＆女＊ｈｔＨ２２２２２２ｈ１，＾ｍ＊ⅢＡ１Ｋ自２Ｋ。月Ｗ，ｎＨｅｘ｜｜＆＊＊｝４…Ｔｍ十（９９《），Ｒ镕Ⅲ１Ⅲ十Ｅｉ∞自№自Ｅ＆Ⅸ＃＊镕＊＃｝＃月ｎ＃☆２７《ｎ４”Ⅸ，直口目２Ｍｄ｛．＝群阳二兰戛蕊：＝～惹～怒～Ｉｌ惹～¨ｑｈＨ匾：矗芦雠嚣器”嚣ｊ淄：一ｒ弑击嗍…洲＾ｉ…Ｈ－‘妄遥篓纛瓣黧褰鬻纛一…，：・嚣鬻嚣磐嚣§＋§势：：矗ｉ嚣￡：器盎５；麟器！：；目２＾ｆｌＫ∞女＃ｔ＊＊存§ｔ行ｇ２筝：篓ｉ瓶瑟孺豁；稿鬻§藩ｃ！鳖，虑＃ｒ揣嚣嚣ｔＺ？；臻，峄＿一～茹赢２＾件∞Ｗ脒№常女＊Ｗ镕目☆自“Ｂｉ＃ｉ什＆＾目№站。《＃＊）∞镕目＆目地“＆有目除．Ｍｆ日∞Ｂ＆目Ｍ丌Ⅲ（目＊等月＃）镕＃４Ⅲ女＊女ｇＴ．＃女＃ｇ＆自＆§．Ⅻ目４＊ｉ。镕＃☆＃Ｗｆ散镕傀复＃分斩。２３放＾目收站时Ｚ件＊＆＃真Ⅲ■除，ｍ《≈ｉ件ｗＲ∞Ⅲ１《Ⅻ目目＆＊ｇｆ，＃女ｍ±＊＃＊＆（ＭｒｒⅢ）自＃＃＃ｉ＃∞＃目目＃《＆％目ｔⅢ＃ｍ（】ｏｏ＃）．ｍｇｉ件ｇ有Ｍ女ｎ．Ⅻ目３Ｍｉ，同＃镕ｉⅫ＆＃目，目关ｚ件白勺＊＃月ｔ（Ｍ盯＃怍《％＃女＃＊ｍ啪¨ｆ３３３３３３ｈｌ、４ｄ４㈨１口十女＊十∞＝十ｉ＃＃±ｂｈｂｂｂｂｌ】】１１ｌｈＩ、２２２２２“ｌ、《）＂＃＃＃ｍ＆（＃☆）∞Ⅸ目８Ⅲ＃ｎ，Ｈ＆做ｒＭ镕＃ｔ。Ｚ件女目．井＆有产§＊∞Ｍ叮项（目＊Ⅷ№敷☆）．ＲＢ≈＃＃动＝十ｉ＃∞Ｍ盯Ⅲ（目ｉ自ｍ据）直＃Ⅻ日＊ｉ＊Ⅻ镕Ａ“＃ｉ＊Ｈｔ＃直＊ｄＲ（｛＃＾日№镕．Ⅻ＆女．在Ｍｚ件女十＆自目ｆⅢ《，“目５日ｉ。提ｉ☆Ｆ＾∞２ｉ＃｝％十移自女＊目．＃目标Ｚ件夹Ｔ创建＊日＃《，月日ｉⅧ残自在ⅢＺ＃＊十。－５９・ｓＨＩ阿镕捌镕女件），Ⅻ女＃∞Ｍ门Ⅷ（日ｉ等Ａ％）ｆ■☆Ⅻ目目＆＃丑勺ⅡⅨ，常＃月性｛Ｍ町ｍ）ⅫｊＥ常＃月Ｂ（ｍ万方数据万方数据目｝ｎＨｑ：ＮＴＦｓ￡＊＆＃ｉ＃｝ｔ９＊菘三三三寻泓＝五孽＝；；三每粤二丁面＝面躞…∞…∞Ｂ…■∞一Ｅ……ｗ“…～Ⅱ，¨ｍ，…＊＇’…’‘‘＿ｍ………‘”＂“㈨¨ｐｔ…ｊ０十Ｒ＊ｊ＾Ｅ’ｔｃＬ＿嚣＾ｔ■…，…，。盏嚣嚣｝薯＿：＿，，＿＿：＿：ｊ’；辩；赢一。越一ｔ盎。０ｌｈ￡．１Ｌ３ｎｌ“ｊｌ￡目３女＊ｍ＾目＃蛄后的目ＡⅢ＆＃据……－：：辑：：＝嚣ｔｍ．ｚ粤燃～譬ｍ譬ｚ塞％ｏｊ～ｐ。．一】蓦一＝謦量罄一目４Ｉ《■％，』、女＃∞目｝ⅢⅡ＆＊（＃＃■＃＝嚣二黼嚣…－ｕ：嚣：＝一＊避粼！＝＿。。喑＿：ｍ｛０％ｇ：篡懋０如博喵¨日ｕ×嶂，。¨喵ｐ。Ｉ☆ｉ玉¨冀；．；ｈｄ０晡帆ｉ，．ｄ‘ｍｆ纂龇目ｓ女＃＃自目ｍ＆ｔ＆＃目Ｔ《《自＊“Ｈｍ＆镕Ｅｍｑ：ＮＴＦｓｉ＊｝％ｔ＃＃＃十＊６７２４８＊４。目目ｇ自∞ｉ”女目ｇ％自Ⅱ女”ｍ＆目＊ＮＴＦｓｉ＃ｉ＃十《＆镕式ｍ＊镕；ｍ１３２女＃ｉ坑。ｐ∞镕Ｒｍ＃ＭＴ目。镕Ｚ＊■Ｍｒｒｉ＊＊目☆《ｎ＊＆Ｒ，∞目９目“。☆＆自＊白勺＆＊《§∞＊＆Ｆ，Ａ“Ｊｍ＃日ｍ＃％镕＊女自％％Ｈ＊。☆＊镕女＃自ｍ≈＃＃ｍ＊Ｅ＊建Ｔ一十…１女＊＋Ⅻ目ｉ薪一二“Ｅ淼ｉ孺ｉ磊ｉ一懑焉黯秽ｉｌ孽■…臆㈧鬻黼幽蒙帮”嚣：：：：嚣：嚣：臻尝：：：：：：船：：黜：Ｐ７３：＝：＝”ｆ｝……ｏ＃ｎ１±Ｊ∞—Ｊ…一Ｒ＊－，ｍ。＇∞ｆ姥～口…Ｅ●…１…｝●…－ｍｒ…～…“…～…“…一…””ｍ。‘兽：：：器赫ｉｉ猫ｉ，勘，；Ｘ．？ｘｔ－●”＾ｔ蓬｜｜ｉ｜爱；｜”：嚣器．一：：：：：：：＝：。■一．＿：：：：：：ｗｔ二１器ｑ≤：∑．．。漱“嘲，，笺篓篓一．．｝喇髓脚０茹：：怒＿＝：：＝：：＝：：：＿：＝：：：：：＝：：＝：＿＝＿：：：：一一’１：：：：：＿口‘格ｔ化＊的Ｍ肝秀；：＝＝＝—舅ｒ黧赢懑氯蠡需磊熏垂芦ｊｉ篓…～：毒ｉｊ燕ｉ瑟ｉ篡瑟麓ｉ！帅，ｉ薹ｉｉｉ描：…Ｊ。。嚣豢：：：嚣：：篇：：；：：：：：器∞。。，一日■■■■■■■●■■■■■■■■■■■■■■●■■●■■■口●目●■■■－４…∞……”…１……一…１…ｉ—～！酷…日Ⅲ………７…ｕｌ【：”Ｈ１５二Ｊ—ｉ—一４船：：臻端：：；船船㈦；：：：嚣：：ｉ：…麓瓣辫撼鞘群ｉ潲嫩苗’…＊’｝４…４＊…０●…●＊…‘‘¨Ｈ１¨…篓≯？目黛冒嚣｜ｉ｜ｉ｜燃㈣瓣置ｊ：舞？：；ｊ＊∞Ｍｎｉｎ—ｉ；耋≯而百；ｉ而：；：：：：ｇ：：’．ｉ’’．ｉ”高％德＝：：：：：：：：：：：：：：：：．：：：＿。ｘ．ｌ；；；；；ｉｉｉｉ，：ｔ：。ｉ…一…∞∞ｌ…∞∞∞“∞∞∞…Ｏ㈨目７格ｔ＊目＃《镕ｔｄｔ＊的ＭｆＴ２５ｉｖＪｗｏＨ日目∞日＃Ⅲｗｏ“ｉ｝妊理８Ｅ使月ｎⅨ中☆☆ｘ＃ｍ存＆％自自自＊￡ｉｄ位￡Ｆ±女ｔ∞％目ｚ＃ｌｍＰ§＊女＊ｗｂｋ、自自＊复女件ｎｄ．ａ８ｉ＃＂日Ｔ∞日ｉⅢＺｉ女ｗｏｄｉ件啬勺＃＃ｄ８，∞目１０Ｍｉ。分＊目＊Ｍ盯坝中Ｈ目信息Ⅲ“掌女Ⅲ砍ｗｏｍｉＨ∞＊柞ｎ《。使月敷＊慨￡＃＃＊￡ｎ§％日ｉ＊、备份２件自动恢复ｉ件Ⅲ＊￥＃ｊ事＾ｆ目时自ｗｏｄ女档十∞内存。…‘女件删除时常＃Ｈｔ自＃＊Ｅ月＃＊｛☆真《目％，Ｒ≈№±“女标＊《＃Ｒ目＆Ⅲ№“，Ｅ梭＊敢据｛ｉ∞ａ§女件慨￡目日∞宰＆＃≈。女件捌☆放＾目《＂目Ｍ阿《十∞女＃ｇ☆日壹＊（＊ｉ目％＃目ｍ＃）。＆ｍ＆月散镕＊复＃＊＊￡＃件Ⅻ目ｉ项Ｈ＊目＊＆ｔ镕ｉ＃ｇ∞女ｍ，ｕ自ｍ％；６ｌ万方数据万方数据目ｍｎ日¨：ＮＴＦｓｉ＊｝ｎｉ＊４ｔ十＊：？—“。箍嚣：：：：：：：：：：：：：：：：器量■：盛？糍茹：：：：：：：：：：：：：：：：ｔ：：：：＿＿｜。．｝————一…———Ｊ≠——一———，————，—，■目¨Ⅱ…●…２……………＊￥＝—麓铡燮篓ｌ臻㈣露．．：？芝目０格式ｍｅ■Ｍ盯圈在覃地ｔ＃＆育镕■９》…“・１Ｅ】翔巍嗍。尝盘主乒｜＝『Ｊ嚣㈣獭ｉ誊—意搿；～，．。。｝微Ｉ．‘‘Ｈ翟一。。搿：ｉ，。讲；Ｊ，，。＿＿＿：＝＿？淑㈧基。’川。‘—————、√■，＊ｔ＊５■ｔｉ目＾ｉ＃自＊■ｉ＃＊★＊ｔ瞻筹＝ｉ辫ｉ：麓墩ｉ巍墩鞑瓣ｉ黧”ｌＩ警九量黼；戮燃ｉ琴鎏＆∞＂‰‘１一ｌ＾∞女Ｂ＆拳，翟‰一掣？一＝＝＿＝；ｚ，；Ｉ繁蕊｝｜：：：：‘１’：≯＿靠岫！：：耋；．＿．．ｉ：，譬；÷釜÷ｉ２７Ｆ■■！？！置＝ｌｘ¨．舯Ｌ叠＿ｔｎ‘Ｌ““々一譬嚣嚣嚣黝叠飘。ｚ一曹嫠：矗？＝：ｉ目ｔｏｗｏｒｄＦ±∞＃Ｈｉ＃辞陶永红何明：ＮＴＦＳ文件系统文件存贮分析按ｓｈｉｆｔ直接删除或大于回收站的文件没有放人回站的过程，其ＭＦＴ项中的目录属性依然保留在原文件夹名下，只是做删除标记，文件名也不会改变。当小于ｌＫ的文件修改后常驻属性（数据部分）变大而成为非常驻属性时，原存在于ＭＦＴ中的常驻属性（数据部分）仍存在。同样小于ｌＫ的文件修改后常驻属性（数据部分）变得更小时，常驻属性的后半部分还残留有原常驻属性（被删数据部分）。当大于１Ｋ的文件修改成小于ｌＫ的文件后，非常驻属性（数据）仍存于原地址，其被删部分数据在被新的数据覆盖前依然保留在原地址。ＮＴＦｓ文件系统在创建新文件时，是从ＭＦＴ文件第２４个ＭＦＴ项开始寻找可用ＭＦＴ项（包括已删除的ＭＦＴ项），因此在Ｍｒｒ文件中靠近起始端的ＭＦＴ项被更新的机率比较大，靠近尾部的已删除ＭＦＴ项可能会较长时间地存在。而ＦＡＴ３２文件系统中的目录项是从已有的最后一个目录项开始往后寻找未曾使用的目录项，直至该簇用完再重启位置寻找可用目录项。文件被移动时其对应的ＭＦＴ项地址并没有改变，只是把该ＭＦＴ项划归新的文件夹。而在ＦＡＴ３２文件系统中文件的移动将产生新的目录项，原目录项做删除标记后残留在原地址。磁盘格式化时，ＮＴＦｓ文件系统在新的地址产生新的万方数据ＭＦｒｒ文件，原ＭＦＴ主文件依然保留在原地址。而ＦＡＴ３２文件系统在格式化后清空了根目录和文件分配表，因此ＮＴＦｓ文件系统更有利于数据恢复。ｗｏｒｄ文字处理器具有自动保存和备份文档功能，因此在使用过程中其文档“保存位置”和“自动恢复文档位置”会产生大量的临时文件、备份文件、自动恢复文件。我们分析这些文件的ＭＦＴ项中的时间属性可以获取文档的操作过程，恢复这些文件可以获取各时期文字处理的相关内容。在分析和恢复过程中要注意文件类型（自动生成的各类文件）和文件名的变化（放入回收站引起的变化）。总之，正确理解和掌握计算机操作过程中各类文件属性的变化规律可以掌握当事人操作计算机的情况，从而为各类案件侦查工作提供直接和间接的线索和证据。参考文献［１］戴士剑．数据恢复技术［Ｍ］．北京：电子工业出版社，２００５．［２］马林．数据重现［Ｍ］．北京：清华大学出版社，２００９．［３］乔珊，尼春雨．数据恢复完全实战演练［Ｍ］．北京：清华大学出版社，２００７．Ｉ责任编辑陈晓明）・６３・
