NTFS $UsnJrnl文件

NTFS $UsnJrnl文件即变更日志文件,用于记录文件的改变。当文件发生改变时,这种变化将被记录进”$Extend$UsnJrnl”文件的一个名字为$J的数据属性中。$J数据属性具有稀疏属性,它由变更日志项组成,每个变更日志项的大小有可能不同,还有一个称为$Max的数据属笥,其中记录着有关用户日志的最大设置等信息。

$UsnJrnl属性变更日志项的数据结构:

字节偏移 字节数 含义
00~03 4 本日志项长度
04~05 2 主版本号
06~07 2 次版本号
08~0F 8 导致该项产生的文件的文件参考号
10~17 8 导致该项产生的文件的父目录文件参考号
18~1F 8 日志项的USN(更新序列号)
20~27 8 时间戳
28~2B 4 变更日志有类型标志
00000001-覆写了默认数据属性
00000002-扩允了默认数据属性
00000004-由头部开始覆写了默认数据属性
00000010-覆写了命名数据属笥
00000020-扩允了命名数据属性
00000040-由头部开始覆写了命名数据属性
00000100-建立了文件或目录
00000200-删除了文件或目录
00000400-文件的扩展属性发生了变化
00000800-安全描述符发生了变化
00001000-名字变化-变更日志项使用原名
00002000-名字变化-变更日志项使用新名
00004000-内容索引状态改变
00008000-基本文件或目录属性改变
00010000-新建或删除硬链接
00020000-压缩状态改变
00040000-加密状态改变
000800000-对象ID改变
001000000-重解析点值改变
002000000-建立、删除或修改命名数据属性
800000000-引以为荣或目录已关闭
2C~2F 4 源信息
30~33 4 安全ID
34~37 4 文件属性
38~39 2 文件名长度
3A+ 文件名

$Max属性包含基本的变更日志管理信息:

字节偏移 字节数 含义
00~07 8 最大长度
08~0F 8 分配长度
10~17 8 ID的USN
18~1F 8 最低USN
取消
感谢您的支持,我会继续努力的!
扫码支持
扫码打赏,你说多少就多少

打开支付宝扫一扫,即可进行扫码打赏哦

Powered by bytekits.com,汇天下文字,成非凡梦想!!!