$MFT 主文件表解析是什么
主文件表记录卷内每个文件的元数据：时间戳、大小、父目录与是否常驻。它既能补全现存文件的基础时间线，也是从已删除记录中恢复线索的重要来源。分析时优先使用取证副本，避免在活动系统上直接读盘。
基本信息
| 适用平台 | Windows 的 NTFS 卷 |
|---|---|
| 关键字段 | 两组时间戳（标准信息与文件名属性）、逻辑大小、父目录、标志位 |
| 解析工具 | MFTECmd、专用文件系统分析工具 |
| 前提 | 先对卷做取证副本再解析 |
典型使用场景
- 构建文件级时间线的基础数据
- 排查已删除文件留下的历史记录
- 通过父目录与时间推断文件放置过程
- 识别时间戳异常，发现时间戳篡改
- 补充其他痕迹无法覆盖的文件信息
- 按父目录标识还原目录树，补齐文件完整路径
导出
导出
MFTECmd.exe -f "$MFT" --csv out/ --csvf mft.csv
MFTECmd.exe -f "$MFT" --body out/ --bdl "C:" # 提取常驻内容，视工具版本而定
# 先对卷做取证副本再解析，避免活动系统上读盘不一致字段读法
| 字段 | 含义 | 注意 |
|---|---|---|
| 标准信息时间戳 | 系统层面的创建与修改时间 | 容易被工具修改 |
| 文件名属性时间戳 | 另一组独立的时间戳 | 与标准信息不一致提示篡改 |
| 标志位 | 文件在用或已删除 | 用于筛出已删除记录 |
| 父目录 | 文件所属目录的标识 | 结合目录记录还原完整路径 |
两组时间戳不一致是时间戳篡改的常见提示，但也要先排除正常的复制与移动造成的差异，再下判断。
常驻在文件表中的小文件内容可以直接提取，不必依赖其他数据区域，配置与脚本类证据常藏在这里。
导出后按标志位区分在用与已删除记录：删除记录里往往藏着清理动作的线索。
解析前记录镜像文件的哈希与获取时间，作为证据完整性说明的一部分。