方案二:
补充:因为NTFS文件系统比较特殊需要通过查找分析位置并不固定元文件数据的方式来判断版本号,所以相对于其他文件系统可以通过直接查看启动扇区(DBR)判断版本号来说步骤较为复杂。
对于使用XP以下系统或在资源管理器中无法正常读取该卷时,可通过使用WinHex等十六进制编辑器查看逻辑扇区数据得到其版本号信息。
目前在DBR扇区中可用于快速判断是否为NTFS文件系统的方法为:其0x00~0x02偏移处的跳转指令为 EB 52 90 ,其0x03H~0x06H偏移处的OEM代号为 4E 54 46 53 对应明文ANSI ASCII字符 NTFS 。
在这里要注意了,NTFS文件系统的版本号并不存在于DBR扇区中,而是在其$MFT里面的$Volume元文件中(或在$MFTMirr里也可以看到),且在扇区中位置并不固定。
这时可以通过WinHex选择双击打开要查看的NTFS分区找到$Volume单击后确定扇区位置,或尝试通过搜索十六进制数“46494C45”找元文件记录头确定其扇区位置。
当搜到扇区后可以通过在右侧ANSI ASCII字符表中看到该扇区头部显示为 FILE 字符且在中间位置也有 V o l u m e 字符和卷标名时即可判断为包含了卷属性的扇区位置,已知目前在Win10系统中格式化的NTFS分区有一处卷属性的位置为:总是从DBR扇区向下再跳转22个扇区(相对扇区)即可找到。
如下图所示该NTFS分区的DBR起始扇区号为8,那么这个卷属性的位置就在8+22=30扇区(绝对扇区)中,跳转到30扇区确认找到其位置后,接下来也要注意NTFS版本号在卷属性扇区中的偏移位置也是不固定的。