80H（$DATA）属性分析

80H类型属性即$DATA属性，该属性容纳着文件的内容，文件大小一般指的就是未命名数据流的大小。该属性没有最大最小限制，最小情况是该属性为常驻属性，可以不占用除MFT以外的空间。

常驻80H类型属性结构

常驻80H类型属性结构见表4-64，在标准属性头后面是文件的内容。

表4-64　常驻80H属性描述

当文件属性能够在文件记录中完全存储下来而不需要存储到其他的Data Run（数据流）中时，这种属性就是常驻属性。

一个常驻80H类型的属性实例如图4-423，在标准属性头后面是该文件的内容。该内容以“00H”结束，这是因为文件属性的长度总是8的整数倍，当属性结束时并没有达到一个能被8整除的数字时就用“00H”来填充。

图4-423　常驻80H属性

非常驻80H属性结构

在NTFS文件系统中常用数据流有：

①［未命名］（［Unnamed］）

②{4c8cc155-6c1e-11d1-8e41-00c04fb9386d}

③^EDocumentSummaryInformation

④^ESebiesnrMkudrfcoIaamtykdDa

⑤^ESummaryInformation

⑥$MountMgrDatabase

⑦$Bad

⑧$SDS

⑨$J

⑩$Max

（1）未命名数据流

80H属性的第一个未命名数据流也就是文件真正的数据，由Data Run来记录其属性体即文件数据的具体地址。下面以$MFT文件自身的文件记录中的80H属性为例，其结构如图4-424所示。

图4-424　80H属性的未命名数据流

Data Run详细含义的描述见表4-65。

表4-65　Data Run含义的描述

图4-424所示的例子，该数据属性的Run List值为“32 0C 1B 00 00 0C”，其具体含义如图4-425所示。

图4-425　Run List的结构及含义

从图4-425可以看出，该属性体的起始簇号为0C0000H，占1B0CH簇。

（2）文件的摘要信息

在NTFS卷中有些文件是有文件摘要的，如图4-426所示。这些摘要包括描述和来源两个部分，其中描述包括标题、主题、类别、关键字、备注等信息，而来源包括来源、作者、修订版本号码等信息。

图4-426　文件摘要

而这些数据被存储在一组四条命名数据流中，它们分别是：

{4c8cc155-6c1e-11d1-8e41-00c04fb9386d}

^ EDocumentSummaryInformation

^ ESebiesnrMkudrfcoIaamtykdDa

^ ESummaryInformation

值得注意的是，后3个命名数据流的名字中的符号“^”是CTRL-E（05H），这样做的原因可能是不让普通用户访问该流。而{4c8cc155-6c1e-11d1-8e41-00c04fb9386d}流的内容总是为空，如图4-427所示。

图4-427　{4c8cc155-6c1e-11d1-8e41-00c04fb9386d}数据流

从{4c8cc155-6c1e-11d1-8e41-00c04fb9386d}数据流的属性头中可以看出，虽然其为非常驻属性，但是不论是系统分配给该属性的大小还是属性真实大小和最初的属性大小都是0，也就是说该数据流为空。

再来看看其他3个命名数据流，见表4-66。其中有几个数据的具体含义并不清楚，有兴趣的读者可以做进一步的研究。

表4-66　包含文件摘要的数据流

（3）$MountMgrDatabase Data Stream

该数据流只存在有重解析点的卷上。

（4）$Bad

坏簇数据流，该数据流只有在$BadClus元文件中才有，它是一个记录卷中簇的情况的数据流。任何好的簇、未用的簇及坏簇，都将在对应的位置做标记。NTFS不会像FAT系统那样提示“Abort，Retry，Fail?”，如果系统运行时新的坏簇被发现，系统将这个坏扇标记到坏簇文件（$BadClus）中。

（5）$SDS

安全描述流（$SDS），只有在$Secure元文件中才有，它包含了卷中所有安全描述列表。

（6）$J、$Max

这两个数据流只有$Extend/$UsnJrnl元文件中才有。