[发明专利]一种NTFS文件格式化参数分析方法、终端设备及存储介质

权利要求书

1.一种NTFS文件格式化参数分析方法，其特征在于，包括以下步骤：

S1：逐扇区在被格式化的分区中查找MFT文件记录，并对查找到的MFT文件记录进行解析，将解析结果加入到第一集合内；

S2：逐扇区在被格式化的分区中查找索引缓冲区记录，并对查找到的索引缓冲区记录进行解析，将解析结果加入到第二集合内；

S3：初始化设定序号i＝1、分区起始扇区为0，第二集合中元素个数m，簇大小为被格式化的分区的簇大小；

S4：判断i≥m是否成立，如果是，结束；否则，进入S5；

S5：判断第一集合中是否存在一元素，使得该元素的文件MFT号与第二集合中第i个元素的文件MFT号相等，如果存在，设定该元素为元素j，进入S6；如果不存在，令i自加1后，返回S4；

S6：判断第一集合中的元素j对应的链表元素个数是否等于1，如果是，进入S7；否则，令i自加1后，返回S4；

S7：在第一集合中查找所有满足父目录MFT号与第二集合中第i个元素的父目录MFT号相等的元素，如果查找结果不为空，进入S8；如果查找结果为空，令i自加1后，返回S4；

S8：针对查找结果中的任意元素，判断是否均满足该元素的文件MFT号与第二集合中第i个元素的子目录索引链表中的一链表元素的文件MFT号相同，如果均满足，进入S9；如果存在有元素不满足的情况，令i自加1后，返回S4；

S9：判断第一集合中是否存在一元素，使得该元素的物理大小大于512，且簇链表不为空，如果存在，进入S10；如果不存在，结束；

S10：根据步骤S9中判断存在的第一集合中元素对应的物理大小和簇链表中所有链表元素所占的簇数据的和，更新簇大小的值；

S11：根据第二集合中第i个元素对应的索引缓冲区头所在的扇区号、第一集合中元素j对应的簇起始和更新后的簇大小，更新分区起始扇区的值。

2.根据权利要求1所述的NTFS文件格式化参数分析方法，其特征在于：步骤S1中查找MFT文件记录时，判断查找到的数据块是否属于MFT文件记录块的方法为：

按照NTFS文件记录的结构对数据块DataBuff进行解析，以获得MFT标识MFTMagic、文件记录时间长度FileRecordRealLenth以及文件记录分配长度FileRecordAllocLenth；当同时满足以下三个条件时，则判断数据块DataBuff属于MFT文件记录块；

条件一：DataBuff[30]等于DataBuff[1022]，且DataBuff[31]等于DataBuff[1023]；其中DataBuff[i]表示数据块DataBuff中的第i个字节，i为1-1024之间的整数；

条件二：MFT标识MFTMagic为FILE；

条件三：文件记录时间长度FileRecordRealLenth小于或等于文件记录分配长度FileRecordAllocLenth，且文件记录分配长度FileRecordAllocLenth等于1024。

3.根据权利要求1所述的NTFS文件格式化参数分析方法，其特征在于：步骤S2中查找索引缓冲区记录时，判断查找到的数据块是否属于索引缓冲区记录的方法为：

对数据块进行解析，以获得索引标识IndexMagic、索引项大小IndexLenth、索引分配大小IndexAllocLenth以及索引填充值IndexAlign，只有同时满足以下两个条件时，才判断数据块属于索引缓冲区记录：

条件一：索引标识IndexMagic等于INDX，且索引填充值IndexAlign等于0；

条件二：索引项大小IndexLenth小于或等于索引分配大小IndexAllocLenth，且索引分配大小IndexAllocLenth与24相加后的结果为512的倍数。

4.根据权利要求1所述的NTFS文件格式化参数分析方法，其特征在于：步骤S10中簇大小的更新公式为：簇大小为第一集合中元素对应的物理大小与簇链表中所有链表元素所占的簇数据的和的比值。