|
IE_SubNodeFR 对簇尺寸！=4k的有用
该属性是索引数据(比如磁盘目录)的基本组成部分，用于存放B+树的子节点和实现索引数据。属性非驻留，则属性的数据流描述指向一个外部索引(索引项（目录项）)区。
|
名字
|
偏移
|
尺寸
|
描述
|
|
|
-
|
-
|
标准属性头
|
|
ATTR_DataRuns
|
0x40+2*N
|
|
属性数据流描述(为各非常驻属性逻辑簇区域指向,具体实体在指向区域)
|
索引项（目录项）记录由标准头和存储目录键及目录数据的数据块组成，在$Boot文件中定义了目录记录的尺寸，这个值通常是4KB(到目录为止没有使用其他值)。
|
名字
|
偏移
|
尺寸
|
描述
|
|
IB_Sign
|
0
|
4
|
记录签名：值为：‘XDNI’
|
|
IB_USOff
|
4
|
2
|
更新序列号的偏移(M) 恒=0x28
|
|
IB_USNSz
|
6
|
2
|
更新序列号个数+1(N) 恒=0x09(4K/512+1)
|
|
IB_LSN
|
8
|
8
|
日志文件序列号，该值在记录每次被修改时都会被改动
|
|
IB_VCN
|
0x10
|
8
|
当前 索引块 在目录文件 中的虚拟簇号
|
|
后面跟 IA索引块头
|
|
IR_EntryOff
|
0x18
|
4
|
第一个索引项（目录项）的偏移 （相对IA索引块头）
|
|
IR_EntrySz
|
0x1c
|
4
|
索引块的 总有效尺寸 (从IR_Sign开始)
|
|
IR_AllocSz
|
0x20
|
4
|
为索引项（目录项）分配的空间的尺寸
|
|
IR_Flags
|
0x24
|
1
|
为1表示块内 有带子节点的索引项
|
|
IR_Resvd
|
0x25
|
3
|
保留
|
|
IR_USN
|
0x28
|
2
|
更新序列号
|
|
IR_USA
|
0x1a
|
2* 8
|
更新序列值占用的空间的原值
|
|
后面紧跟索引项（目录项）
|
BITMAP （0xB0 MFT文件或外部索引块使用）
该属性记录了一组BIT序列，每个位描述一个单元的使用情况。
该属性主要用于两种情况：索引(比如目录)和$MFT文件中。
在用于索引时，每个位表示一个索引项是否被使用。每个位描述一个虚拟簇号(VCN)。
在用于$MFT文件时，每个位记录一个文件记录是否使用。
位序列表紧随属性头存放。同DATA(0x80)
|
名字
|
偏移
|
尺寸
|
描述
|
|
|
-
|
-
|
标准属性头
|
|
ATTR_DataRuns
|
0x40+2*N
|
|
数据或数据运行
|
SYMBOL_LINK (0xC0 NT)
本属性只用于Microsoft Windows NT。
REPARSE_POINT (0xC0 2K)
该属性描述对象的解析信息，该属性最大尺寸是16384字节。
|
名字
|
偏移
|
尺寸
|
描述
|
|
|
-
|
-
|
标准属性头
|
|
RP_Type
|
0
|
4
|
重解析数据类型，该值可以是以下值之一
0x20000000 别名
0x40000000 最高等待时间
0x80000000 微软使用
0x68000005 NSS
0x68000006 NSS恢复
0x68000007 SIS
0x68000008 DFS
0x88000003 卷挂接点
0xA8000004 HSM
0xE8000000 硬连接
|
|
RP_DatSz
|
4
|
2
|
重解析数据尺寸
|
|
RP_Resvd
|
6
|
2
|
保留
|
|
RP_Data
|
8
|
L
|
重解析数据
|
该属性用于实现为OS/2子系统或Windows NT服务器的OS/2客户提供基于NTFS的HPFS扩展属性。因为数据流可能会增大，所以该属性可以是非驻留的。
|
名字
|
偏移
|
尺寸
|
描述
|
|
|
-
|
-
|
标准属性头
|
|
EI_PackedSz
|
0
|
2
|
压缩扩展属性尺寸
|
|
EI_NumOfEA
|
0
|
2
|
拥有NEED_EA记录的扩展属性个数
|
|
EI_UnpackedSz
|
4
|
4
|
未压缩扩展属性尺寸
|
EA (0xE0 )
该属性用于在NTFS卷上实现HPFS的扩展属性。因为数据流可能会增大，所以该属性可以是非驻留的。该属性的最大尺寸是65536字节。
该属性保存HPFS卷所需的名字－参数对。
|
名字
|
偏移
|
尺寸
|
描述
|
|
|
-
|
-
|
标准属性头
|
|
EA_Next
|
0
|
4
|
下一个扩展属性的偏移(本记录的尺寸)
|
|
EA_Flags
|
4
|
1
|
标志位，值取0x80表示需要EA
|
|
EA_NamLen
|
5
|
1
|
名字数据的长度(M)
|
|
EA_ValLen
|
6
|
2
|
值数据的长度
|
|
EA_Name
|
8
|
M
|
名字数据
|
|
EA_Value
|
8+M
|
N
|
值数据
|
EA名字不使用UNICODE字符。关于该属性的特性，参考一下HPFS的规范会很有帮助。
PROPERTY_SET (0xF0 NT)
本属性只用于Microsoft Windows NT。
LOGGED_UNTILITY_STREAM (0x100 2K)
该属性记录日志操作的元数据。
|
|
Offset
|
Size
|
Description
|
|
|
-
|
-
|
标准属性头
|
|
|
0x00
|
|
Any data
|
|
