$Extend文件是一个包含$ObjId、$Quota、$Reparse和$UsnJrnl四个元文件的目录。

$Extend文件一般包含3个属性,如图4-462所示。

元文件$Extend分析-数据恢复迷

图4-462 $Extend的文件记录

(1)10H属性

10H属性用来定义$Extend的创建时间、最后修改时间、该MFT修改时间、文件最后访问时间、文件标志等信息。

(2)30H属性

30H属性定义了$Extend的父目录的文件参考号为根目录、$Extend的一些时间属性、系统分配给$Extend的大小;定义了文件的标志为06000010H,即目录、系统、隐藏文件;定义了该文件名的长度为7个字符,命名空间为3,即Win32 & DOS命名空间;在属性的最后定义了该文件的文件名为Unicode字符串“$Extend”。

(3)90H属性

90H属性定义了该文件是一个普通目录,包含了$ObjId、$Quota、$Reparse和$UsnJrnl四个元文件的索引。90H属性是常驻属性,所以属性体就在该属性中。因为只有四个文件的索引位于该目录下,所以就不需要索引分配和位图属性,而只需要一个包含四个索引的索引根属性(90H属性)就可以了。