上篇文章我們已經知道MFT屬性體分爲兩種,一種是常駐屬性頭另外一種是非常駐屬性頭兩種屬性頭在結構方面有所不同。那麼MFT屬性體的數據結構又是如何的呢,其實MFT的屬性體是根據屬性頭的類型不同其數據結構也不同的。
常駐屬性的屬性體很小,可以直接存放在MFT項中。而非常駐屬性的屬性體很大,不能MFT項是存不下的,所以需要另外開闢空間存放,這也就導致了常駐屬性和非常駐屬性的屬性體數據結構也是有所不同的。
上圖是一個文件名爲123.txt文檔,裏面的內容是123123123,可以看到當數據量較小時,NTFS文件系統會直接把數據存到MFT項中。
-------------------------以下是非常駐屬性----------------------------------------------
上圖是一個文件名爲$MFT的非常駐屬性MFT ,非常駐屬性體裏面記錄的不是文件真正的內容,而是文件內容起始簇號和包含多少個簇的信息。這些信息我們叫他簇流信息。 簇流信息的數據結構我們放到下節課講。