标签：非常驻属性
上篇文章我们已经知道MFT属性体分为两种，一种是常驻属性头另外一种是非常驻属性头两种属性头在结构方面有所不同。那么MFT属性体的数据结构又是如何的呢，其实MFT的属性体是根据属性头的类型不同其数据结构也不同的。
常驻属性的属性体很小，可以直接存放在MFT项中。而非常驻属性的属性体很大，不能MFT项是存不下的，所以需要另外开辟空间存放，这也就导致了常驻属性和非常驻属性的属性体数据结构也是有所不同的。
上图是一个文件名为123.txt文档，里面的内容是123123123，可以看到当数据量较小时，NTFS文件系统会直接把数据存到MFT项中。
-------------------------以下是非常驻属性----------------------------------------------
上图是一个文件名为$MFT的非常驻属性MFT ，非常驻属性体里面记录的不是文件真正的内容，而是文件内容起始簇号和包含多少个簇的信息。这些信息我们叫他簇流信息。 簇流信息的数据结构我们放到下节课讲。
标签：非常驻属性
原文地址：http://shujvhuifu.blog.51cto.com/10412640/1812692
