NTFS文件系统结构分析
了解计算机文件系统NTFSFAT和HFS的区别
了解计算机文件系统NTFSFAT和HFS的区别计算机文件系统是操作系统用来组织和管理计算机存储设备上的文件和目录的一种机制。
在不同的操作系统中，常见的文件系统有NTFS、FAT和HFS。
本文将就NTFS、FAT和HFS三种文件系统进行比较，以帮助大家更好地了解它们之间的区别。
一、NTFSNTFS（New Technology File System）是微软公司开发的一种高性能、可靠性和安全性较强的文件系统。
NTFS首次被引入Windows NT操作系统，并一直沿用至今。
1.1 文件系统结构NTFS采用了一种分层次的文件系统结构。
它包含了主引导记录（MBR）、分区表、文件记录、文件分配表等重要的组成部分。
而数据存储则是通过将文件分割成不同的簇来管理。
1.2 特点和功能NTFS具有许多先进的特点和功能，例如：- 安全性：NTFS支持访问控制列表（ACL）和文件加密，可以对文件和目录进行更细粒度的权限控制。
- 可靠性：NTFS采用了日志和冗余技术，使得文件系统更加稳定和可靠。
- 容量：NTFS最大支持16EB（1EB=1024PB）的存储容量，能够满足大容量存储的需求。
- 文件压缩和加密：NTFS支持文件压缩和加密，可以提高存储效率并保护敏感数据的安全性。
二、FATFAT（File Allocation Table）是一种较早的文件系统，最初是由微软开发的。
FAT文件系统广泛应用于早期的Windows操作系统和一些移动存储设备中。
2.1 文件系统结构FAT文件系统采用了一种比较简单的存储结构，它通过FAT表来管理文件和目录。
FAT表是一个记录簇号和下一个簇号之间对应关系的查找表。
2.2 特点和功能FAT文件系统具有以下特点和功能：- 简单易用：FAT文件系统结构简单，易于实现和维护。
- 兼容性好：FAT文件系统具有较好的兼容性，可以在不同操作系统之间进行文件共享和传输。
- 存储限制：FAT文件系统的文件大小限制为4GB，对于大容量存储设备来说可能不够满足需求。
全面了解NTFS文件系统结构
解读NTFSNTFS是一个比FAT复杂的多的文件系统，我们一起努力来把它完整的解读出来NTFS的引导扇区也是完成引导和定义分区参数，和FAT分区不同，FAT分区的B OOT记录正常，就显示分区没有错误，即使文件不正确，而NTFS分区的BOOT不是分区的充分条件，它要求必须MFT中的系统记录如＄MFT等正常该分区才能正常访问。
其BPB参数如下表所示。
字节偏移长度常用值意义0x0B 字 0x0002 每扇区字节数0x0D 字节 0x08 每簇扇区数0x0E 字 0x0000 保留扇区0x10 3字节 0x000000 总为00x13 字 0x0000 NTFS未使用，为00x15 字节 0xF8 介质描述0x16 字 0x0000 总为00x18 字 0x3F00 每磁盘扇区数0x1A 字 0xFF00 磁头数0x1C 双字 0x3F000000 隐含扇区0x20 双字 0x00000000 NTFS未使用，为00x28 8字节 0x4AF57F0000000000 扇区总数0x30 8字节 0x0 ＄MFT的逻辑簇号0x38 8字节 0x54FF0000 ＄MFTMirr的逻辑簇号0x40 双字 0xF6000000 每MFT记录簇数0x44 双字 0x01000000 每索引簇数0x48 8字节 0x14A51B74C91B741C 卷标0x50 双字 0x00000000 检验和MFT中的文件记录大小一般是固定的，不管簇的大小是多少，均为1KB。
文件记录在MFT文件记录数组中物理上是连续的，且从0开始编号，所以，NTFS是预定义文件系统。
MFT仅供系统本身组织、架构文件系统使用，这在NTFS中称为元数据（metadata，是存储在卷上支持文件系统格式管理的数据。
它不能被应用程序访问，只能为系统提供服务）。
其中最基本的前16个记录是操作系统使用的非常重要的元数据文件。
这些元数据文件的名字都以“＄”开始，所以是隐藏文件，在Windows 2000/XP中不能使用dir命令（甚至加上/ah参数）像普通文件一样列出。
ntfs 原理
ntfs 原理NTFS（New Technology File System）是Windows操作系统中使用的一种文件系统。
它的设计目标是提供更高的性能、可靠性和安全性，以适应大型存储设备和复杂的操作环境。
NTFS的核心原理包括以下几个方面：1. 文件存储结构：NTFS使用了一种称为“Master File Table （MFT）”的数据结构来存储文件和文件夹的元数据信息。
每个文件和文件夹在MFT中都有一个相应的记录，包括文件名、大小、创建时间、修改时间等属性。
2. 文件分配：NTFS将存储介质（如硬盘）划分为簇（Cluster），每个簇的大小可根据用户需要进行设置。
文件在磁盘上的存储是以簇为单位进行分配的，相邻簇被组织在一起形成连续的簇链表。
这样可以提高读写的效率，并减少文件的碎片化。
3. 文件安全：NTFS引入了权限控制机制，可以对文件和文件夹进行细粒度的访问控制。
每个文件和文件夹都有一个安全描述符，包含了访问控制列表（ACL）和访问策略等信息，可以设置哪些用户或组对文件有何种操作权限。
4. 容错和恢复：NTFS具备容错和恢复机制，可以在磁盘发生故障或断电等异常情况下，通过文件系统的日志文件和元数据的冗余性来保证数据的完整性。
当系统重新启动时，NTFS可以通过检查日志文件进行自我修复，确保文件系统可用性。
5. 数据压缩和加密：NTFS支持对文件和文件夹进行数据压缩和加密。
压缩可以节省存储空间，而加密可以保护敏感数据不被非法访问。
综上所述，NTFS通过MFT存储文件的元数据信息，使用簇进行分配和存储文件数据，实现了权限控制、容错和恢复机制，同时支持数据压缩和加密。
这些原理使NTFS成为一种可靠、高效并且安全的文件系统。
NTFS文件系统结构分析
NTFS元文件 元文件
• • • • • • $MFT ：中的第一个记录是$MFT自身。 $MFTMirr： 主文件表的部分镜像 $LogFile （日志文件），该文件是NTFS为实现可恢复性和安全性而设计。在系统失败时 能恢复NTFS卷。 $Volume（卷文件），它包含卷名、NTFS的版本和一个表明该磁盘是否损坏的标志位。 （NTFS系统以此决定是否需要调用Chkdsk程序来进行修复） $AttrDef：（属性定义表），其中存放着卷所支持的所有文件属性，并指出他们是否可以 被索引和恢复等。 $Root（跟目录），其中保存着该卷跟目录下的所有文件和目录的索引。
NTFS的元文件 的元文件
• NTFS系统中，文件按照簇进行分配，簇大小在格式化的时候由格式化 程序根据卷的大小自动进行分配。 • 文件通过主文件表MFT来确定文件在磁盘上的存储位置。主文件表是一 个对应的数据库，由一系列文件记录组成，卷中每个文件都有一个文件 记录。第一个文件记录称为基本文件记录，其中存储有其他扩展文件记 录的一些信息。文件表本身也有它自己的文件记录。 • MTF中的文件记录大小一般固定为1KB，文件记录在MFT文件记录数组 中物理上是连续的，从0开始编号。
• 1.容错性:NTFS可以自动地修复磁盘错误而不会显示出错信 息. • 2.安全性:NTFS有许多安全性能方面的选项,可以阻止没有授 权的用户访问文件. • 3.EFS提供对存储在NTFS分区的文件进行加密的功能 • 4.用户可以选择压缩单个文件整个文件夹. • 5.磁盘配额:就是管理员可以对本域中的每个用户所能使用 的磁盘空间进行定额限制,即每个用户只能使用最大定额范 围内的磁盘空间.
属性头
• 每个属性又分为属性头和属性内容两部分，属性头给出了该 属性的结构信息。 • 有的属性内容存储在记录项中（如文件名），称为常驻属性。 有的属性内容很大，需要在MFT外另外开辟空间存储（如 文件数据），则称为非常驻属性。 • 有的属性在属性头之后列出了属性名，而有的则没有。
数据恢复技术分析NTFS分区结构
二、主控文件表与元文件
在NTFS分区中，最重要的就是主控文件表（MFT）， 它记载了所有文件的属性信息，甚至包括数据， 有点类似于FAT分区的文件目录表。 为了防止遭到破坏，NTFS分区将MFT的位置移到了 分区的中间，并在引导扇区中给出了它的簇号。 我们在恢复数据的时候，就是依靠MFT来完成的。
分析NTFS分区结构
M6-1 本单元主要内容
一
NTFS分区结构
二 主控文件表与重难点
重点
NTFS分区概述 NTFS引导扇区分析 恢复NTFS引导扇区的方法 NTFS元文件介绍
难点
NTFS引导扇区BPB参数 NTFS元文件的概念和作用
LCN
101
102
106
107
108
221
一、NTFS分区结构
NTFS分区不再设管理控制区域，分区的0扇区便是 0簇，全部空间都是数据区域。分区中承担管理控 制信息的数据块被组织成文件，灵活地存放在任 意一个位置。只有BOOT区域比较特殊，由于0扇区 仍是引导扇区，因此BOOT区域始终位于分区前端。
在NTFS分区中，引入了卷概念。卷可以看成是分 区的升级版，是为了解决某些分区限制而提出的 概念，卷的操作和使用和分区是一样的。 卷分为简单卷和动态卷两种，简单卷就是一个普 通分区，而动态卷则可以实现一些高级功能，比 如可以将多个分区或者磁盘组织成一个卷，能够 动态增长容量等，使其可以支持服务器存储所需 的海量存储空间。
11
12~15 16~23 24~?
$ExtMD
$Extended\
扩展元数据目录（Extended metadata directory）
NTFS文件系统结构分析
NTFS文件系统结构分析在NTFS文件系统中，文件存取是按簇进行分配，一个簇必需是物理扇区的整数倍，而且总是2的整数次方。
NTFS文件系统并不去关心什么是扇区，也不会去关心扇区到底有多大（如是不是512字节），而簇大小在使用格式化程序时则会由格式化程序根据卷大小自动的进行分配。
文件通过主文件表（MFT）来确定其在磁盘上的存储位置。
主文件表是一个对应的数据库，由一系列的文件记录组成--卷中每一个文件都有一个文件记录（对于大型文件还可能有多个记录与之相对应）。
主文件表本身也有它自己的文件记录。
NTFS卷上的每个文件都有一个64位（bit）称为文件引用号（File Reference Number，也称文件索引号）的唯一标识。
文件引用号由两部分组成：一是文件号，二是文件顺序号。
文件号为48位，对应于该文件在MFT中的位置。
文件顺序号随着每次文件记录的重用而增加，这是为NTFS进行内部一致性检查而设计的。
NTFS使用逻辑簇号（Logical Cluster Number，LCN）和虚拟簇号（Virtual Cluster Number，VCN）来进行簇的定位。
LCN是对整个卷中所有的簇从头到尾所进行的简单编号。
卷因子乘以LCN，NTFS就能够得到卷上的物理字节偏移量，从而得到物理磁盘地址。
VCN则是对属于特定文件的簇从头到尾进行编号，以便于引用文件中的数据。
VCN可以映射成LCN，而不必要求在物理上连续。
NTFS的目录只是一个简单的文件名和文件引用号的索引，如果目录的属性列表小于一个记录的长度，那么该目录的所有信息都存储在主文件表的记录中，对于大于记录的目录则使用B+树进行管理。
主文件表中的基本文件记录中有一个指针指向一个存储非常驻索引缓冲--包括该目录下所有下一级子目录和文件的外部簇，而B+树结构便于大型目录中文件和子目录的快速查找。
在NTFS中，所有存储在卷上的数据都包含在文件中，包括用来定位和获取文件的数据结构，引导程序和记录这个卷的记录（NTFS元数据）的位图，这体现了NTFS的原则：磁盘上的任何事物都为文件。
解析ntfs底层结构
解析ntfs底层结构Ntfs是我们经常用的文件系统，不仅在Windows分区中起到了很大的作用。
还在我们经常使用的U盘上也平凡出现，那么我们了解经常使用的ntfs吗?小编就来带大家解析ntfs底层结构。
一、NTFS系统结构NTFS是Windows NT引入的新型文件系统，如果您是一位熟悉FAT磁盘格式的专业人士，可能会觉得NTFS文件系统的思想蹩脚而晦涩，如果您对FAT格式一无所知，那么恭喜您，您会更快的了解这种更有效率的磁盘格式。
NTFS的结构复杂，内容繁多，小编仅对NTFS卷上的底层结构做分析，并提供卷上数据删除的特征状态供大家参考。
现在，我们首先来建立了解NTFS需要的基本数据结构概念。
图一：ntfs1、NTFS的基本数据结构NTFS的数据大体上可分为4个部分(1) Partition boot sector(引导扇区，又称BPB)，此部分为所有磁盘格式都共有，占用一个扇区，但是具体的内容当然各不相同(见表3)。
(2) Master File Table(主文件列表，MFT)，它是对卷上所有文件的记录，每一个文件对应一个记录项，理论上占用该卷12%的空间。
(3) System files(系统文件)，NTFS系统一共有16个系统文件，和8个保留文件。
(4) File area(数据区)，留给用户的空间。
Ntfs说起来很复杂，用起来很简单。
我们常常会与其相遇，但都视而不见，以至于mac系统都对它视若无睹。
这是ntfs的悲伤，也是mac的绝情。
mac系统对ntfs格式的磁盘只可以读不可以写入，所以小伙伴们要是心疼ntfs，一直用自己强大的功能默默付出，去无人问津。
就在自己的mac电脑上下载软件ntfs for mac。
帮助ntfs走进mac的心里。
NTFS文件系统结构总览数据恢复迷
NTFS文件系统结构总览数据恢复迷当用户将硬盘的一个分区格式化为NTFS分区时，就建立了一个NTFS文件系统结构。
NTFS文件系统与FAT文件系统一样，也是用簇为基本单位对磁盘空间和文件存储进行管理的。
一个文件总是占有若干个簇，即使在最后一个簇没有完全放满的情况下，也是占用了整个簇的空间，这也是造成磁盘空间浪费的主要原因。
文件系统通过簇来管理磁盘，并不需要知道磁盘扇区的大小，这样就使NTFS保持了与磁盘扇区大小的独立性，从而使不同大小的磁盘选择合适的簇。
NTFS分区也被称为NTFS卷，卷上簇的大小，又称为卷因子，其大小是用户在创建NTFS卷时确定的。
和FAT文件系统一样，卷因子的大小和文件系统的性能有着非常直接的关系。
当一个簇占用的空间太小时，会出现太多的磁盘碎片，这样在空间和文件访问时间上会造成浪费；而相反的当一个簇占用的空间太大时，直接造成了磁盘空间的浪费。
因此，最大限度地优化系统对文件的访问速度和最大限度地减少磁盘空间的浪费是确定簇的大小的主要因素。
簇的大小一定是扇区大小的整数倍，通常是2n（n为整数）。
表4-28是NTFS文件系统中不同卷大小和簇的一般关系。
当然这并不是完全一定的，只是系统格式化磁盘时的默认情况，这个默认的簇的值一般被认为是最能优化系统的值。
表4-28 NTFS卷大小和簇大小关系表卷大小（MB）每簇的扇区默认的簇大小≤512 1 512个字节513～1024 2 1024个字节（1KB）1025～2048 4 2048个字节（2KB）≥20498 4KB当一个分区由FAT卷转变成为一个NTFS卷时，卷因子的大小总是占用一个扇区。
NTFS文件系统使用了逻辑簇号（Logical Cluster Number，LCN）和虚拟簇号（Virtual Cluster Number，VCN）对卷进行管理。
其中LCN是对卷的第一个簇到最后一个簇进行编号，只要知道LCN号和簇的大小以及NTFS卷在物理磁盘中的起始扇区（绝对扇区）就可以对簇进行定位，而这些信息在NTFS卷的引导扇区中可以找到（BPB参数），在系统底层也是用这种方法对文件的簇进行定位的。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
NTFS文件系统结构分析在NTFS文件系统中，文件存取是按簇进行分配，一个簇必需是物理扇区的整数倍，而且总是2的整数次方。
NTFS文件系统并不去关心什么是扇区，也不会去关心扇区到底有多大（如是不是512字节），而簇大小在使用格式化程序时则会由格式化程序根据卷大小自动的进行分配。
文件通过主文件表（MFT）来确定其在磁盘上的存储位置。
主文件表是一个对应的数据库，由一系列的文件记录组成--卷中每一个文件都有一个文件记录（对于大型文件还可能有多个记录与之相对应）。
主文件表本身也有它自己的文件记录。
NTFS卷上的每个文件都有一个64位（bit）称为文件引用号（File Reference Number，也称文件索引号）的唯一标识。
文件引用号由两部分组成：一是文件号，二是文件顺序号。
文件号为48位，对应于该文件在MFT中的位置。
文件顺序号随着每次文件记录的重用而增加，这是为NTFS进行内部一致性检查而设计的。
NTFS使用逻辑簇号（Logical Cluster Number，LCN）和虚拟簇号（Virtual Cluster Number，VCN）来进行簇的定位。
LCN是对整个卷中所有的簇从头到尾所进行的简单编号。
卷因子乘以LCN，NTFS就能够得到卷上的物理字节偏移量，从而得到物理磁盘地址。
VCN则是对属于特定文件的簇从头到尾进行编号，以便于引用文件中的数据。
VCN可以映射成LCN，而不必要求在物理上连续。
NTFS的目录只是一个简单的文件名和文件引用号的索引，如果目录的属性列表小于一个记录的长度，那么该目录的所有信息都存储在主文件表的记录中，对于大于记录的目录则使用B+树进行管理。
主文件表中的基本文件记录中有一个指针指向一个存储非常驻索引缓冲--包括该目录下所有下一级子目录和文件的外部簇，而B+树结构便于大型目录中文件和子目录的快速查找。
在NTFS中，所有存储在卷上的数据都包含在文件中，包括用来定位和获取文件的数据结构，引导程序和记录这个卷的记录（NTFS元数据）的位图，这体现了NTFS的原则：磁盘上的任何事物都为文件。
在文件中存储一切使得文件系统很容易定位和维护数据，而在NTFS中，卷中所有存放的数据均在一个叫做MFT的文件记录数组中，称为主文件表(Master File Table)，MFT是由高级格式化产生的。
而MFT则由文件记录(File Record)数组构成。
File Record的大小一般是固定的，不管簇的大小是多少，均为1KB，这个概念相当于Linux中的inode （i节点）。
File Record在MFT文件记录数组中物理上是连续的，且从0开始编号。
MFT仅供系统本身组织、架构文件系统使用，这在NTFS中称为元数据(metadata)。
其中最基本的前16个记录是操作系统使用的非常重要的元数据文件。
这些NTFS主文件表的重要的元数据文件都是以$(美元符号)开始的名字，所以是隐藏文件，在Windows 2000中不能使用dir命令(甚至加上/ah参数)像普通文件一样列出这些元数据文件。
实际上File System Driver(ntfs.sys)维护了一个系统变量NTFS Protect System Files用于隐藏这些元数据。
但是微软公司也提供了一个OEM TOOL,叫做NFI.EXE,用此工具可以转储NTFS主文件表的重要的元数据文件（元数据：是存储在卷上支持文件系统格式管理的数据。
它不能被应用程序来访问，它只能为系统提供服务），使用NFI显示结果如下：C:\>nfi C: |MORE而这些元数据文件文件是系统驱动程序装配卷所必需的，WINDOWS 2000给每个分区赋予一个盘符并不表示该分区包含有WINDOWS 2000可以识别的文件系统格式，如果一旦主文件表损坏，那么该分区在WINDOWS 2000下是无法读取的。
为了使该分区能够在WINDOWS 2000下能被识别，也就是必须首先建立WINDOWS 2000可以识别的文件系统格式即主文件表，这可通过高级格式化该分区来完成。
众所周知，Windows以簇号来定位文件在磁盘存储的位置，在FAT格式的文件系统中有关簇号的指针是包含在FAT表中的，而在NTFS中有关簇号的指针是包含在$MFT 及$MFTMirr文件中的。
NTFS元文件伴随着以上这些新增功能的是更多的用于存放与功能相关的数据的元文件。
最后，在下面的表中罗列出NTFS5中所有的元文件：每个MFT记录都对应着不同的文件，如果一个文件有很多属性或是分散成很多碎片，就很可能需要多个文件记录。
这时，存放其文件记录位置的第一个记录就叫做“基文件记录”（base file record）。
MFT中的第1个记录就是MFT自身。
由于MFT文件本身的重要性，为了确保文件系统结构的可靠性，系统专门为它准备了一个镜像文件（＄MftMirr），也就是MFT中的第2个记录。
第3个记录是日志文件（＄LogFile）。
该文件是NTFS为实现可恢复性和安全性而设计的。
当系统运行时，NTFS就会在日志文件中记录所有影响NTFS卷结构的操作，包括文件的创建和改变目录结构的命令，例如复制，从而在系统失败时能够恢复NTFS卷。
第4个记录是卷文件（＄Volume），它包含了卷名、被格式化的卷的NTFS版本和一个标明该磁盘是否损坏的标志位（NTFS系统以此决定是否需要调用Chkdsk 程序来进行修复）。
第5个记录是属性定义表（＄AttrDef，attribute definition table），其中存放了卷所支持的所有文件属性，并指出它们是否可以被索引和恢复等。
第6个记录是根目录（\），其中保存了存放于该卷根目录下所有文件和目录的索引。
在访问了一个文件后，NTFS就保留该文件的MFT引用，第二次就能够直接进行对该文件的访问。
第7个记录是位图文件（＄Bitmap）。
NTFS卷的分配状态都存放在位图文件中，其中每一位（bit）代表卷中的一簇，标识该簇是空闲的还是已被分配了的，由于该文件可以很容易的被扩大，所以NTFS的卷可以很方便的动态的扩大，而FAT 格式的文件系统由于涉及到FAT表的变化，所以不能随意的对分区大小进行调整。
第8个记录是引导文件（＄Boot），它是另一个重要的系统文件，存放着Windows 2000/XP的引导程序代码。
该文件必须位于特定的磁盘位置才能够正确地引导系统。
该文件是在Format程序运行时创建的，这正体现了NTFS把磁盘上的所有事物都看成是文件的原则。
这也意味着虽然该文件享受NTFS系统的各种安全保护，但还是可以通过普通的文件I/O操作来修改。
第9个记录是坏簇文件（＄BadClus），它记录了磁盘上该卷中所有的损坏的簇号，防止系统对其进行分配使用。
第10个记录是安全文件（＄Secure），它存储了整个卷的安全描述符数据库。
NTFS文件和目录都有各自的安全描述符，为了节省空间，NTFS将具有相同描述符的文件和目录存放在一个公共文件中。
第11个记录为大写文件（＄UpCase，upper case file），该文件包含一个大小写字符转换表。
第12个记录是扩展元数据目录（＄Extended metadata directory）。
第13个记录是重解析点文件（$Extend\$Reparse）。
第14个记录是变更日志文件（$Extend\$UsnJrnl）。
第15个记录是配额管理文件（$Extend\$Quota）。
第16个记录是对象ID文件（$Extend\$ObjId）。
第17～23记录是是系统保留记录，用于将来扩展。
MFT的前16个元数据文件是如此重要，为了防止数据的丢失，NTFS系统在该卷文件存储部分的正中央对它们进行了备份，参见下图。
NTFS把磁盘分成了两大部分，其中大约12%分配给了MFT，以满足其不断增长的文件数量。
为了保持MFT元文件的连续性，MFT对这12%的空间享有独占权。
余下的88%的空间被分配用来存储文件。
而剩余磁盘空间则包含了所有的物理剩余空间--MFT剩余空间也包含在里面。
MFT空间的使用机制可以这样来描述：当文件耗尽了存储空间时，Windows操作系统会简单地减少MFT空间，并把它分配给文件存储。
当有剩余空间时，这些空间又会重新被划分给MFT。
虽然系统尽力保持MFT空间的专用性，但是有时不得不做出牺牲。
尽管MFT碎片有时是无法忍受的，却无法阻止它的发生。
那么NTFS到底是怎么通过MFT来访问卷的呢？首先，当NTFS访问某个卷时，它必须“装载”该卷：NTFS会查看引导文件（在图中的＄Boot元数据文件定义的文件），找到MFT的物理磁盘地址。
然后它就从文件记录的数据属性中获得VCN 到LCN的映射信息，并存储在内存中。
这个映射信息定位了MFT的运行（run或extent）在磁盘上的位置。
接着，NTFS再打开几个元数据文件的MFT记录，并打开这些文件。
如有必要NTFS开始执行它的文件系统恢复操作。
在NTFS打开了剩余的元数据文件后，用户就可以开始访问该卷了。
文件和目录记录NTFS将文件作为属性/属性值的集合来处理，这一点与其他文件系统不一样。
文件数据就是未命名属性的值，其他文件属性包括文件名、文件拥有者、文件时间标记等。
下图显示了一个用于小文件的MFT记录。
每个属性由单个的流（stream）组成，即简单的字符队列。
严格地说，NTFS并不对文件进行操作，而只是对属性流进行读写。
NTFS提供对属性流的各种操作：创建、删除、读取（字节范围）以及写入（字节范围）。
读写操作一般是针对文件的未命名属性的，对于已命名的属性则可以通过已命名的数据流句法来进行操作。
一个文件通常占用一个文件记录。
然而，当一个文件具有很多项属性值或很零碎的时候，就可能需要占用一个以上的文件记录。
这种情况下，第一个文件记录是其基本的文件记录，存储有该文件需要的其它文件记录的位置。
小文件和文件夹（典型的如1500字节或更少）将全部存储在文件的MFT记录里。
文件夹记录包括索引信息，小文件夹记录完全存储在MFT结构内，然而大的文件夹则被组织成B+树结构，用一个指针指向一个外部簇，该簇用来存储那些MFT 内存储不了的文件夹的属性。
NTFS卷上文件的常用属性在下表中列出（并不是所有文件都有所有这些属性）。
常驻属性与非常驻属性当一个文件很小时，其所有属性和属性值可存放在MFT的文件记录中。
当属性值能直接存放在MFT中时，该属性就称为常驻属性（resident attribute）。
有些属性总是常驻的，这样NTFS才可以确定其他非常驻属性。
例如，标准信息属性和根索引就总是常驻属性。
每个属性都是以一个标准头开始的，在头中包含该属性的信息和NTFS通常用来管理属性的信息。