元文件$Reparse分析

$Reparse是重解析点文件，Windows 2003、Windows XP等系统可以将卷装载在目录中进行重新解析。$Reparse一般包含3个属性，如图4-465所示。

图4-465　$Repares的文件记录

（1）10H属性

10H属性用来定义$Repares的创建时间、最后修改时间、该MFT修改时间、文件最后访问时间、文件标志等信息。

（2）30H属性

30H属性定义了$Repares的父目录的文件参考号为$Extend、$Repares的一些时间属性、系统分配给$Repares的大小（这里为0字节）、实际使用的大小（这里为0字节）、文件的标志；定义了该文件的文件名长度为8个字符、命名空间为3，即Win32 ＆ DOS命名空间；在属性的最后定义了该文件的文件名为Unicode字符串“$Repares”。

（3）90H属性

90H属性的属性名为$R，也就是$R索引。$R索引的结构见表4-88。

表4-88　$R索引结构

在本例中$Repares没有A0H属性，因为该卷没有重解析点。在有重解析点的卷中，该元文件会有一个A0H属性，其属性名也为$R，表示其为$R索引。