MFT(主文件表).

NTFS 的核心元数据结构,为卷上每个文件或目录保存一条 1024 字节的记录,几乎所有 Windows 文件系统取证都以它为基础。 它属于网络安全的 取证与应急响应 分类。

NTFS 的核心元数据结构,为卷上每个文件或目录保存一条 1024 字节的记录,几乎所有 Windows 文件系统取证都以它为基础。

主文件表($MFT)是 NTFS 文件系统的核心,每个文件、目录,甚至 MFT 自身,都由一条固定大小的记录表示,包含 $STANDARD_INFORMATION、$FILE_NAME、$DATA 等属性。取证分析人员通过解析 MFT 恢复时间戳($SI 与 $FN 中的四个 MACB 时间)、文件大小、父子关系、备用数据流以及小文件的常驻数据。被删除的记录在被复用前通常仍可恢复,使 MFT 成为构建时间线和检测反取证手段的关键来源。MFTECmd、analyzeMFT、Velociraptor 等工具可以提取并规范化记录,便于快速排查。

针对 MFT(主文件表) 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: $MFT, 主文件表。