NTFS文件系统
NTFS文件系统索引分配属性
2021-07-01
157
0
NTFS 索引分配属性($INDEX_ALLOCATION) 的类型值为0xA0
对于一个较大的目录，无法将所有的索引项都存放在索引根属性中，就需要分配一个索引分配属性($INDEX_ALLOCATION)来存放它的索引项。
- 索引分配属性是非常驻的，由一个个索引记录组成
- 索引记录存储在MFT以外的簇空间中，每个索引记录具有固定大并包含一个分类树中的节点，大小通常为4096字节。
索引分配数据结构
| 字节偏移 | 字节数 | 含 义 |
|---|---|---|
| 00~47 | 48 | 属性头 |
| 48~ | 簇流列表 |
索引记录
索引记录存储在MFT以外的簇空间中，每个索引记录开始处有一个索引记录头，后面跟随一个节点头，然后是索引列表。
节点头与索引项的结构与索引根属性中的同类部分相同，第一个索引记录起始于属生的偏移0处。
| 字节偏移 | 字节数 | 含 义 |
|---|---|---|
| 00~03 | 4 | 签名”494E54458”,名文为“INDEX” |
| 04~05 | 2 | 修正数组位置偏移 |
| 06~07 | 2 | 修正数组项数 |
| 08~0F | 8 | 日志文件序列号 |
| 10~17 | 8 | 本索引记录在索引分配中的VCN |
