一种NTFS文件格式化参数分析方法、终端设备及存储介质与流程

技术特征：
1.一种ntfs文件格式化参数分析方法，其特征在于，包括以下步骤：s1：逐扇区在被格式化的分区中查找mft文件记录，并对查找到的mft文件记录进行解析，将解析结果加入到第一集合内；s2：逐扇区在被格式化的分区中查找索引缓冲区记录，并对查找到的索引缓冲区记录进行解析，将解析结果加入到第二集合内；s3：初始化设定序号i＝1、分区起始扇区为0，第二集合中元素个数m，簇大小为被格式化的分区的簇大小；s4：判断i≥m是否成立，如果是，结束；否则，进入s5；s5：判断第一集合中是否存在一元素，使得该元素的文件mft号与第二集合中第i个元素的文件mft号相等，如果存在，设定该元素为元素j，进入s6；如果不存在，令i自加1后，返回s4；s6：判断第一集合中的元素j对应的链表元素个数是否等于1，如果是，进入s7；否则，令i自加1后，返回s4；s7：在第一集合中查找所有满足父目录mft号与第二集合中第i个元素的父目录mft号相等的元素，如果查找结果不为空，进入s8；如果查找结果为空，令i自加1后，返回s4；s8：针对查找结果中的任意元素，判断是否均满足该元素的文件mft号与第二集合中第i个元素的子目录索引链表中的一链表元素的文件mft号相同，如果均满足，进入s9；如果存在有元素不满足的情况，令i自加1后，返回s4；s9：判断第一集合中是否存在一元素，使得该元素的物理大小大于512，且簇链表不为空，如果存在，进入s10；如果不存在，结束；s10：根据步骤s9中判断存在的第一集合中元素对应的物理大小和簇链表中所有链表元素所占的簇数据的和，更新簇大小的值；s11：根据第二集合中第i个元素对应的索引缓冲区头所在的扇区号、第一集合中元素j对应的簇起始和更新后的簇大小，更新分区起始扇区的值。2.根据权利要求1所述的ntfs文件格式化参数分析方法，其特征在于：步骤s1中查找mft文件记录时，判断查找到的数据块是否属于mft文件记录块的方法为：按照ntfs文件记录的结构对数据块databuff进行解析，以获得mft标识mftmagic、文件记录时间长度filerecordreallenth以及文件记录分配长度filerecordalloclenth；当同时满足以下三个条件时，则判断数据块databuff属于mft文件记录块；条件一：databuff[30]等于databuff[1022]，且databuff[31]等于databuff[1023]；其中databuff[i]表示数据块databuff中的第i个字节，i为1-1024之间的整数；条件二：mft标识mftmagic为file；条件三：文件记录时间长度filerecordreallenth小于或等于文件记录分配长度filerecordalloclenth，且文件记录分配长度filerecordalloclenth等于1024。3.根据权利要求1所述的ntfs文件格式化参数分析方法，其特征在于：步骤s2中查找索引缓冲区记录时，判断查找到的数据块是否属于索引缓冲区记录的方法为：对数据块进行解析，以获得索引标识indexmagic、索引项大小indexlenth、索引分配大小indexalloclenth以及索引填充值indexalign，只有同时满足以下两个条件时，才判断数据块属于索引缓冲区记录：
条件一：索引标识indexmagic等于indx，且索引填充值indexalign等于0；条件二：索引项大小indexlenth小于或等于索引分配大小indexalloclenth，且索引分配大小indexalloclenth与24相加后的结果为512的倍数。4.根据权利要求1所述的ntfs文件格式化参数分析方法，其特征在于：步骤s10中簇大小的更新公式为：簇大小为第一集合中元素对应的物理大小与簇链表中所有链表元素所占的簇数据的和的比值。5.根据权利要求1所述的ntfs文件格式化参数分析方法，其特征在于：步骤s11中分区起始扇区partitionstartsector的更新公式为：表示partitionstartsector＝indexheadersector
ii-clusersectornumber*cstart
clistfj0
其中，indexheadersector
ii
表示第二集合i中第i个元素对应的索引缓冲区头所在的扇区号，clusersectornumber表示更新后的簇大小，cstart
clistfj0
表示第一集合中元素j对应的簇起始。6.一种ntfs文件格式化参数分析终端设备，其特征在于：包括处理器、存储器以及存储在所述存储器中并在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如权利要求1～5中任一所述方法的步骤。7.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于：所述计算机程序被处理器执行时实现如权利要求1～5中任一所述方法的步骤。

技术总结
本发明涉及一种NTFS文件格式化参数分析方法、终端设备及存储介质，该方法中通过对格式化后的MFT记录进行综合假设验证分析，基于MFT记录中的总簇数和物理占用大小确定簇大小，基于文件多级索引结合假设验证分析确定分区起始扇区。本发明能够较为准确的获得NTFS数据恢复所需的格式化参数，可为后续的NTFS数据恢复提供较好的技术支撑，提升恢复准确性。提升恢复准确性。提升恢复准确性。


技术研发人员：杜新胜 沈长达 黄志炜
受保护的技术使用者：厦门市美亚柏科信息股份有限公司
技术研发日：2021.11.26
技术公布日：2022/4/6