40H（$OBJECT_ID）属性分析

40H类型属性即$OBJECT_ID属性，也就是对象ID，它是从Windows 2000开始引入的属性。每一个MFT记录都被指定一个唯一的GUID（全局ID，Windows为所有对象分配的一个全局唯一的数字标识，16字节长）。此外，记录还可能包含有一个所属卷ID、原始对象ID和域ID，这些都属于GUID，在NTFS文件系统中所提供的API就是通过这些ID对文件进行访问的，该属性最大不超过256字节。其结构见表4-43。

表4-43　40H属性描述表

40H类型的属性绝大多数只有16字节，也就是只有一个全局ID，即对象ID，如果原始卷ID、原始对象ID和域ID没有被使用，它也有可能在属性中占用了空间，但是其值可能是零。

40H属性的例子如图4-419所示。

图4-419　40H属性的例子

该例子中的40H属性的属性体只有16字节，也就是只有一个全局ID，即对象ID。