Структура файловой системы NTFS

Задание 7. Изучить файловую запись для нерезидентного файла.

Указания к выполнению.

1. Чтобы вернуться к списку файловых записей, можно нажать кнопку Go back (Назад) в правой верхней части окна DiskExplorer:

или нажать клавишу F6, или выбрать пункт as File entry в меню View:

2. Найдите в списке файловых записей $MftMirr – зеркальную копию MFT (следующая запись после $Mft):

Дважды щелкните на записи $MftMirr (или нажмите клавишу F7) – откроется окно с подробной информацией о файле $MftMirr:

Выделите пункт Attributes (Атрибуты) в окне Structures:

Как видно из рисунка, атрибут $80 ($DATA) является нерезидентным. Изучим его расположение в памяти.

Щелкните на заголовок (Header) атрибута $80 в окне Structures:

На представленном рисунке зеленым цветом выделен признак атрибута non resident в разделе Interpretation of data и соответствующий байт в разделе Raw data (01).

Синим цветом выделены начальный (Start VCN) и конечный (Last VCN) виртуальные номера кластеров (см. лекцию 11 "Файловая система NTFS"). Поскольку они совпадают (равны 0), то группа (Run) занимает всего один кластер.

Красным цветом выделен список групп (Run list): 11:01 02.

• 11 – определяет размер следующих двух полей:
  • младший полубайт (1) кодирует размер поля длины группы; поскольку в данном случае полубайт равен 1, размер поля длины группы составляет 1 байт;
  • старший полубайт (1) кодирует размер поля номера LCN стартового кластера; в данном случае размер поля составляет 1 байт;
• 01 – размер группы составляет 1 кластер (это значение совпадает с определенной нами ранее длиной группы по номерам начального и конечного кластеров);
• 02 – LCN номер начального кластера.

Перейдя на второй кластер (щелкнув ссылку x00000002 в окне Interpretation of data, выделенную синим цветом шрифта) и нажав клавишу F6, можно убедиться, что атрибут $DATA файла $MftMirr содержит первые 4 записи таблицы MFT:

Обратите внимание, что поскольку одна файловая запись занимает 1 КБ (2 сектора), то 4 записи будут занимать 4 КБ или 8 секторов или 1 кластер.

Задания для самостоятельного выполнения

Задание 1. Определить максимальный размер обычного текстового файла, который целиком помещается в файловую запись NTFS.

Задание 2. Исследовать представление каталогов в файловых записях NTFS.

Указания к выполнению.

1. Создайте каталог на томе виртуального жесткого диска.
2. В программе DiskExplorer найдите файловую запись для созданного каталога и изучите её содержимое.

Задание 3. Определите расположение в атрибутах файловых записей NTFS следующей информации (указаны также виды атрибутов, для которых нужно определять расположение). Проверить соответствие информации в файловой записи и информации, отображаемой в окне свойств файла в Windows.

Для всех атрибутов:

1. длина тела атрибута.

Для атрибута $STANDARD_INFORMATION:

1. время создания файла;
2. время изменения файла;
3. время последнего чтения файла;
4. признаки MS DOS (скрытый, системный и т.д.);

Для атрибута $FILE_NAME:

1. родительский каталог;
2. имя файла.