Описание файловой системы NTFS.

Microsoft, желая защитить диски NTFS от просмотра, не предоставляет документации по структуре NTFS. Это странно, так как у многих есть такие диски, но никто не знает, как с ними работать. Что ж, придётся разбираться в этом самому. Вот какую информацию мне удалось узнать.

Мощный инструмент для работы с NTFS - Microsoft DiskEdit для NTFS. Где его достать, вы можете узнать здесь.

Внимание! Данная информация не претендует на полноту или достоверность. Здесь написано, как я считаю, что должно быть, совсем необязательно, что правильно.

Раздел NTFS в таблице разделов идентифицируется номером 7. Первый сектор раздела - загрузочный.

Данные, находящиеся с 0Bh по 23h называются BPB, их значение идентично тем же значениям в FAT.

Следом за загрузочным сектором идут 15 секторов с загрузочным кодом (тех 246 байт, что находятся в загрузочном секторе, очень мало).

В отличие от FAT, все пространство диска NTFS разделено на кластеры. Поэтому, если данные начинаются с какого-либо кластера, то номер первого сектора в разделе вычисляется так : Номер_кластера * Число_секторов_в_кластере

Чтобы найти файлы на диске, нужно добраться до файла MFT. Это такой большой файл-свалка (12,5% от объёма диска), где находится вся информация о размещении всех файлов на диске. В нём содержатся последовательные записи о файлах и папках.

 Пусть х - байт по смещению 40h в загрузочном секторе (размер записи MFT в кластерах). Тогда размер записи MFT (в секторах) равен :
 - х * Число_секторов_в_кластере, если х положителен
 - 2^(-х)/Размер_сектора_в_байтах, если х отрицателен

Такой способ вычисления сделан для того, чтобы размер записи MFT мог быть меньше размера кластера. Если х = 0F6h (-10), то размер записи MFT равен 2¹⁰ = 1024 (1 Кб), или 2 сектора. Чаще всего запись MFT бывает размером именно 1Кб.

Первые 16 записей файла MFT зарезервированы под так называемые метафайлы.

Файл, с точки зрения NTFS - это набор атрибутов, описанный в MFT. Для каждого файла на диске создаётся запись в MFT (базовая). В ней описывается переменное количество атрибутов файла (вся информация файла содержится в различных атрибутах). Если список атрибутов не помещается в базовую запись, то создаётся одна или несколько расширенных записей, где продолжается описание атрибутов. Запись MFT состоит из заголовка и списка атрибутов переменной длины. Из всей записи MFT фиксированное положение занимает только её заголовок.

Давайте рассмотрим формат заголовка записи MFT

Для контроля целостности записи MFT Windows записывает в последнее слово (слово - это двухбайтовое число, если кто не знает) каждого сектора записи уникальное число для каждой записи. Это число содержится в первом слове массива восстановления. Числа, которые изначально были в последних словах секторов, сохраняются в последующих словах массива восстановления. Таким образом, его размер в словах равен: (Число секторов в записи)+1. Прежде чем работать с записью, необходимо выполнить следующие действия: а) Считать первое слово массива восстановления. Проверить последнее слово каждого сектора записи на равенство ему. Если хоть одно из них не равно, запись повреждена. б). Заменить эти слова значениями, сохранёнными в последующих словах массива восстановления.

Каждый файл в разделе идентифицируется 6-байтовым числом - номером его базовой записи в файле MFT. Чтобы найти эту запись, нужно взять информацию обо всём файле MFT из записи № 0, и прочитать нужную запись из его данных. Она находятся по смещению : № записи*размер записи.

После заголовка в записи следуют массив восстановления и список атрибутов. Больше в записи ничего нет. Атрибуты имеют фиксированный заголовок и область данных переменного размера.

Тип атрибута - это номер, идентифицирующий назначение атрибута. Атрибуты в списке отсортированы по возрастанию типа. Смещение первого атрибута в списке указано по смещению 14h в заголовке записи. Чтобы найти следующий атрибут, нужно к смещению прибавить размер атрибута. Значение 0FFFFFFFFh (-1) в поле типа атрибута или размер атрибута 0 сигнализируют, что атрибутов больше нет. Если список атрибутов выходит за смещение, указанное в поле 18h записи MFT, значит запись повреждена. Атрибуты, кроме типа, могут иметь ещё необязательное имя. Атрибут является резидентным, если его данные целиком находятся в записи MFT (в области данных атрибута). Если атрибут нерезидентный, в его области данных находится информация о том, где эти данные находятся. Далее содержимое заголовка различается у резидентных и нерезидентных атрибутов.

У резидентного атрибута все данные обычно находятся сразу за концом заголовка

Виртуальный кластер описываемых данных - это фактически смещение (в единицах, равных размеру кластера) от начала данных . Эти виртуальные кластеры заданы здесь для того, чтобы можно было "склеить" данные, описанные в двух атрибутах одного типа. Обычно сразу за заголовком следует список экстентов. Список экстентов данных - это информация о том, где на диске находится каждая часть данных. Экстент - участок непрерывной записи данных. Он характеризуется тройкой значений : VCN, LCN, k , где VCN - виртуальный кластер начала экстента, LCN - физический номер на диске первого кластера экстента, k - длина экстента в кластерах. Список экстентов данных атрибута довольно интересно запакован (для экономии места):

Все эти атрибуты необязательны, и каждый атрибут может повторяться несколько раз, но атрибуты одного типа должны иметь разные имена. (Как вам, например, файл с пятью разными именами, или файл с тремя областями данных?). Кроме указанных, пользователь может ввести свои, специфические атрибуты. Но обычно у файла обычно один неименованный атрибут данных и один - имени (или два, одно - MS-DOS, другое -Windows). Что это, файл или каталог, можно определить только по содержимому атрибута "Имя файла". В каталоге информация о файлах, входящих в него находится не в данных файла, а в атрибутах "Корень индекса" и "Размещение индексов". Обычно резидентны атрибуты "Стандартная информация", "Имя файла" и "Корень индекса".

Нас будут интересовать атрибуты : "Стандартная информация", "Полный список атрибутов" (если он есть), "Имя файла", "Данные файла", "Корень индекса" и "Размещение индексов".

Далее идёт информация только о структуре данных атрибута, заголовки у всех атрибутов одинаковы (описаны выше).

Атрибут "Имя файла" содержит в своих данных только структуру FILENAME

Дата/время записаны в 100-наносекундных интервалах с 1 января 1601 года (причём по Гринвичу). Для получения их в нормальном виде можете использовать функцию FileTimeToSystemTime, а можете делить сами (а, ну-ка, сколько в году секунд?). Формат имени файла будет 3 у файла "pagefile.sys", 1 у "Program Files", и 2 у "PROGRA~1", 0 у ".шму*n...   ?fg".

Данные атрибута "Стандартная информация" совпадают с участком структуры FILENAME со смещения 8 до смещения 3Ah, то есть без измени файла и FileReference..

В атрибуте "Полный список атрибутов" содержится информация обо всех атрибутах файла, даже о тех, которые содержатся в базовой записи MFT.

Данными для атрибута "Данные файла" является содержимое файла.

В данных атрибутов "Корень индекса" и "Размещение индексов" находится список файлов, входящих в этот каталог. Оба этих атрибута имеют имя '$I30'."Корень индекса" должен присутствовать обязательно, а, если список индексов не вмещается в этот резидентный атрибут, то дополнительные индексы делятся на записи индексов, и помещаются в нерезидентный атрибут "Размещение индексов".

Обычно сразу за этим заголовком следует список файловых индексов.

Остальные файловые индексы находятся в записях индексов. Записи следуют одна за другой в данных атрибута "Размещение индексов". Каждой записи соответствует бит в данных атрибута "Битовая карта". По-моему, если бит сброшен, то запись недействительна. Размер записи указан в атрибуте "Корень индекса".

 Как вы заметили, в данных атрибута, как и в записи MFT, тоже есть массив восстановления. Работать с ним нужно точно так же. Обычно сразу за ним следуют файловые индексы (записи о содержащихся в каталоге файлах).

Эта страница обновляется по мере того, как я что-то узнаю.

Автор: Droopy   www.droopy.narod.ru

Приложение:

Английские символы Unicode - точно те же первые 128 символов ASCII со старшим нулевым байтом.