文件系统取证总览
拿到一块镜像，问"里面有什么"表面上是文件恢复，实际拆开是三层：镜像 → 卷（分区 / LVM / RAID）→ 文件系统。只有第三层才决定"文件叫什么、多大、什么时候改过、删到哪里去了"。
知识节点
NTFS
在 文件系统分析 中继续浏览相关技术、方法与案例。
关联资源
围绕“NTFS”继续查找可练习的题目与可用检材。
节点文档
当前节点及其下级节点已经公开的知识内容。
阅读
文件头与文件签名
用户和操作系统看到的是"这是一个 .jpg"，但磁盘上真正决定它"是什么"的，是文件开头那几个字节。扩展名是文件名的属性，不是文件的属性。
NTFS 数据流（ADS）与隐藏数据
NTFS 上"一个文件"并不等于"一份内容"。同一个文件对象可以挂载多个独立的 $DATA 流：一个是匿名流（文件名能看到的那份），其余全是命名流（Named Stream），通过 文件名:流名 访问。
Steady State 与 $LogFile 还原
NTFS 的 MFT 解析回答的是现状：某个条目现在有哪些属性、哪些流、什么时间戳。"这个条目原本是什么，是谁在什么时候改掉的"是另一个问题。现状写在 $MFT 的当前字节里，日志型文件系统还会另写一份"改动过程"——NTFS 的这份记录就是 $LogFile（MFT 记录 2）与 $UsnJrnl。
NTFS 结构与 MFT 解析
Windows 默认文件系统，真实案件里出现频率最高的就是它。最突出的设计特征是把每个文件或目录的全部元数据集中存放在一张固定大小的表里——$MFT（Master File Table），每条记录 1024 字节。