NTFS MFT Entry

# MFT Entry

- 일반적으로 1,024bytes 크기를 가지며 그 위치는 Boot Record에 기록

- MFT Entry Header: 48Bytes

- Attributes: 파일에 대한 metadata 정보 저장

 

 

# MFT  엔트리 구조 

 

-MFT 엔트리는 다음 그림과 같은 구조를 가진다. 맨 앞부분에 48 바이트 크기의 엔트리 헤더와 Fixup 값, 그리고 해당하는 파일의 특성에 따라 여러 개의 속성을 가진다.

 

 

# MFT Entry Header

 

 

# MFT Entry Header

 

• Signature : "FILE"
• Offset to fixup array : 0x0030
• Number of entries in fixup array : 0x0003
• $LogFile Sequence Number (LSN) : 0x0000000000 107A14
• Sequence Number : 0x0001
• Link count : 0x0001
• Offset to first attribute : 0x0038
• Flags : 0x0001
• Used size of MFT entry : 0x000001A0
• Allocated size of MFT Entry : 0x00000400 (1024 바이트)
• File reference to base record : 0x00000000 00000000
• Next attribute id : 0x0006
• Align to 4B boundary : 0x0000
• Number of this MFT Entry : 0x00000000

---

# File Reference Address

 

- MFT Entry는 48bit로 구성되는 고유의 주소(MFT Entry Address/Number)를 가지고 있음 ($MFT는 0, $LogFile의 경우 2)

- File Reference Address(64bit) = Sequence Number(16bit)와 MFT Entry Address(48bit)의 조합 사용

- Sequence Value가 0x20이고 MFT Entry Address가 0x400 일 때 File Reference Address는 0x0020000000000400이 된다.

 

---

# Base MFT Entry와 non-base MFT Entry

 

- 어떤 파일에 대한 정보가 너무 많아서 하나의 MFT Entry에 담기가 불가능할 경우 여러 개의 MFT Entry 사용

- Base MFT Entry: 첫번째 MFT Entry

- Non-base MFT Entry: 두번째 이상의 MFT Entry

 

 

---

[참고 사이트]

https://ghostshell.tistory.com/311

마스터 파일 테이블 MFT(Master File Table)

 

http://forensic-proof.com/archives/584

NTFS – MFT 엔트리 구조 (MFT Entry Structure) | FORENSIC-PROOF

 

[NTFS - 속성]

http://forensic-proof.com/archives/590

NTFS – 속성 (Attributes) | FORENSIC-PROOF