Контрольные вопросы:

1. Чем отличается $MFTMirror от $MFT?

2. Где хранится информация о расположении $MFT и $MFTMirror на логическом диске?

3. Какой объем записи в $MFT?

4. Какие отличительные признаки имеет запись $MFT?

5. Что называют атрибутом файла в записи $MFT?

6. В каких атрибутах хранится информация об основных характеристиках файла?

7. Какие атрибуты обязательны для любого файла?

8. Как Вы понимаете резидентный и нерезидентный атрибуты?

9. Что такое экстенд?

10. Сколько экстендов имеет нефрагментированный файл?

Порядок выполнения лабораторной работы № 3

1. С помощью программы DiskEdit выполнить следующие действия:

• подключить для просмотра логический диск C: (меню "Файл", пункт "Открыть");

• с помощью соответствующего меню прочитать сектор 0 диска C:;

• выбрать в меню "Просмотреть" способ представления в виде загрузочного сектора NTFS;

• определить номера начальных кластеров $MFT и $MFRMirror;

• прочитать теперь первую запись $MFT по номеру соответствующего кластера;

• руководствуясь информацией раздела "Структура записи в файле $MFT", найдите в записи файла $MFT первый атрибут ($STANDARD_INFORMATION) и перепишите его содержимое в протокол по лабораторной работе в виде шестнадцатиричного кода;

• выберите теперь в меню "Просмотреть" способ представления "Запись файла NTFS" и снова запишите в протокол расшифрованную информацию из атрибута ($STANDARD_INFORMATION.

2. Продолжите исследование файловой системы NTFS с помощью программы Diskprobe 1.0:

• в корневом каталоге диска C: создайте текстовый файл Example.txt, в который поместите текст - "This is a short file";

• смонтируйте логический диск C: (меню "Drives", пункт "Logical Volume";

• так же, как и в предудущей программе, прочитать сектор 0 и найти в нем информацию о местоположении файлов $MFT и $MFRMirror;

• переместиться на первую запись файла $MFT;

• найти и сравнить с записанным ранее содержимым атрибута $STANDARD_INFORMATION в шестнадцатиричном и текстовом виде;

• с помощью пункта "Search Sectors" в меню "Tools" выполнить поиск по контексту "This is a short file" той записи в $MFT, что соответствует файлу Example.txt. При этом необходимо выбрать следующие режимы поиска:

  • Character Type: ASCII charecters;

  • Search Type: Exhaustive search.

• после нахождения записи в $MFT для файла Example.txt переместитесь в ней на атрибут $DATA и перепишите в протокол его содержимое, а также номер сектора, где была найдена эта запись;

• аналогично тому, как это показано в разделе "Резидентный атрибут $DATA", в протоколе по лабораторной работе выделите цветом различные поля атрибута $DATA;

• убедитесь в том, что содержимое файла хранится непосредственно в резидентном атрибуте и отметьте это в протоколе на лабораторную работу;

• скопируйте теперь этот файл с руководством по лабораторной работе № 5 в корневой каталог диска C:, переименуйте его на "Longfile.doc";

• снова осуществите поиск в метафайле $MFT записи для файла Longfile.doc, применяя следующие режимы:

  • Character Type: Unicode characters;

  • Search Type: Exhaustive search;

  • Enter characters to search for: Longfile.doc.

• в случае успешного завершения поиска записи переместитесь в ней на атрибут $DATA и перепишите в протокол его содержимое, а также номер сектора, где была найдена эта запись;

• руководствуясь описанием из раздела "Нерезидентный атрибут $DATA", в протоколе по лабораторной работе выделите цветом различные поля атрибута $DATA, в особенности поле экстендов Runlist;

• укажите в протоколе все блоки VCN.

3. С помощью программы "Runtime's DiskExplorer for NTFS" провести дополнительные исследования записей в $MFT для файлов Example.txt и Longfile.doc. Для этого:

• с помощью выбора пункта "Sector" в меню "Goto" переместиться на сектора, номера которых были записаны при выполнении пункта 2 этой работы, учитывая то, что отсчет секторов в этой программе ведется не от начала логического диска, а от начала всего "винчестера" (для диска C: к записанному номеру необходимо прибавить число секторов на первой дорожке, где находится Master Boot Record. Обычно, это 63 сектора, но может быть и другое их количество);

• полностью просмотрите и исследуйте структуру указанных файлов, включая отдельные атрибуты. Особо обратите внимание на атрибут $DATA для обоих файлах. Результаты исследования отразите в протоколе на лабораторную работу.

4. Протокол по лабораторной работе со всеми внесенными данными предъявите преподавателю.