在NTFS文件系统MFT在哪里

Question

我想知道是否处处找到FF FF FF FF它表示一个MFT块。因为here他们说：

你可以很清楚地看到文件标记的0xFFFFFFFF的结束将标记 新的MFT项的末尾（字节偏移量504）。

Answer 1

不完全是。所有MFT条目都与群集或文件记录大小对齐，该大小是磁盘扇区大小的倍数。通常，MFT中的文件记录长度为1024字节，文件记录的大小和MFT的偏移量存储在卷的第一个扇区中，其结构称为NTFS BIOS参数块。您可以在ReactOS源代码here中找到该结构。

所有MFT文件条目在偏移0处具有幻数（例如FILE或BAAD）。 MFT的确切大小可以通过解析MFT的第一个文件记录的属性来获得，MFT本身就是MFT。未命名的非驻留数据属性包含整个MFT的大小以及磁盘上碎片的数据运行。

该文章谈到的0xFFFFFFFF可在最后一个属性的类型字段中找到，该字段表示文件记录属性的结尾。这会浪费时间，并且不完全准确地解析这个值，因为其他文件可能包含它。