file - 了解 NTFS 中的 $ATTRIBUTE_LIST

Question

我正在检查 NTFS(新技术文件系统)并且一直陷入试图找出 $ATTRIBUTE_LIST 属性的循环中。来自 this documentation , 遇到 $ATTRIBUTE_LIST 是不常见的，它们仅在 MFT 表空间不足时使用。但是，通过查看以下解析器，我发现它们确实解析了它:

• NtfsFileExtractor
• ntfs by icaleo
• zenwinx
• JkDefrag v3.36 源代码(使用一些谷歌搜索找到)

通过查看这些，我得出了以下流程图:

(“Has $ATTRIBUTE_LIST”右边应该有一个yes)

我想引用流程图右侧的2个过程。是否正确:

1. 仅当属性的 FRN 与包含属性列表 FRN 的文件不同时才解析该属性？
2. 将属性添加到文件中的文件中列出了 FRN，而不是包含属性列表的 FRN？或者，属性中列出的 FRN 是否仅用于此文件记录(而不是真正的文件)的属性？

Answer 1

they're only used if the MFT table is running out of room

这是不正确的。只要 MFT 条目 太大而无法容纳所有属性，就会使用它们。

The attribute is only parsed if it's FRN is different than the file containing the attribute lists FRN?

我猜这取决于操作系统/软件，但它有点道理。虽然 $ATTRIBUTE_LIST 必须包含所有 属性的列表，但您可以通过简单地解析整个 MFT 条目来枚举“本地”属性。比如我的软件RecuperaBit这样做。

相反，您需要该列表来确定“远程”属性存储在哪些其他 MFT 条目中。

Or, is the FRN listed in the attribute only used for attributes for this file record (and not really a file)?

其编号包含在 $ATTRIBUTE_LIST 属性中的 MFT 条目不包含 $DATA 属性并且没有 $FILE_NAME 属性之一。它不是一个文件，它只是一个额外的 MFT 条目。

---

注意:我编辑了答案，因为我以一种令人困惑的方式使用“驻留”一词来指代基本 MFT 条目内的属性。但是，常驻属性的概念是另一回事。