元文件$UpCase分析 | 数据恢复迷

$UpCase是一个完整的大写字母组成的128KB大小的文件。Unicode字母表中的每一个字符，在这个文件中都有一个对应的条目，用于比较和对文件名进行排序。

$UpCase一般有3个属性，如图4-461所示。

图4-461　$UpCase的文件记录

（1）10H属性

10H属性用来定义$UpCase的创建时间、最后修改时间、该MFT修改时间、文件最后访问时间、文件标志等信息。

（2）30H属性

30H属性定义了$UpCase的父目录的文件参考号为根目录、$UpCase的一些时间属性；定义了系统分配给$UpCase的大小，其大小一般为20000H字节，即128KB，文件的实际使用的大小一般也是128KB；还定义了文件的标志；定义了该文件名的长度为7个字符、命名空间为3，即Win32 ＆ DOS命名空间；在属性的最后定义了该文件的文件名为Unicode字符串“$UpCase”。

（3）80H属性

80H属性是个未命名数据流，在该属性中定义了文件数据流在卷中的位置，此处为408BH，共占了20H个簇。在其数据流中记载的是所有的Unicode字符列表从0000H～FFFFH共65 536个字符，每个Unicode字符占2个字节。