1.3.8 Розмір і структура записи таблиці mft

З урахуванням сказаного вище велике значення має правильне визначення розміру запису таблиці MFT. Його значення зберігається в поле Clusters per FRS завантажувального сектора. Багато дискові утиліти, в тому числі PTEdit, відображають це значення як десяткове ціле позитивне число в діапазоні 0-255 (зазвичай рівне 246, див. Рис. 7.20). Насправді це значення слід розглядати як шістнадцяткове ціле зі знаком, в якому старший розряд відводиться для представлення знака. Якщо число позитивно (тобто в десятковому поданні менше 128), то воно означає кількість кластерів, займаних одним записом таблиці MFT. Якщо ж число негативне (більше десяткового 127), то для визначення розміру записи MFT потрібно використовувати наступну формулу:

FRS = 2 (256-Clusters-Per-FRS) (1.1)

де FRS - кількість байтів, займаних записом MFT, a Clusters_Per_FRS - значення поля Clusters per FRS.

Наприклад, якщо в поле Clusters per FRS представлено значення 246 (тобто шістнадцятирічне F6), то в наведеній вище формулі показник ступеня 2 буде дорівнює 10, а для FRS отримаємо значення 1024, тобто розмір запису MFT становить 1 Кбайт. Аналогічно значення поля Clusters per FRS, рівне 245 (F5h), відповідає розміру запису MFT, рівному 211 = 2048 байт, або 2 Кбайт.

Запис MFT містить список областей змінної довжини, кожна з яких відповідає одному з атрибутів файлу. Розмір цього списку і склад зберігаються в ньому атрибутів для кожного файлу може бути своїм. Якщо всі атрибути файлу або каталогу не поміщаються в базові записи, створюється одна або кілька додаткових записів. При цьому базовий запис містить атрибут, в якому перераховані всі атрибути даного файлу і каталогу, а також вказівку, в яких саме записах (базових або додаткових) зберігаються ті чи інші атрибути. Кожен запис MFT складається з заголовка фіксованого формату, слідом за яким йде список атрибутів змінної довжини. Приступаючи до дослідження записи MFT, спочатку потрібно проаналізувати її заголовок.

Формат заголовка запису MFT представлений в таблиці 3

Таблиця 1.3 – Формат заголовки запису MFT

Зміщення, байт	Довжина, байт	Описання
00h	5	Текстовий рядокFILEO
04h	2	Зміщення масиву коригування запису Update Sequence
06h	2	Розмір масиву коригування запису Update Sequence
10h	2	Послідовний номер сектора в записі MFT
12h	2	Лічильник посилань
14h	2	Зміщення початку списку атрибутів
14h	2	Прапорці відзначають стан запису MFT
16h	4	Реальний розмір запису MFT
18h	4	Розмір памяті, займаним записом MFT
20h	8	Файловий номер(File Reference) базовий запис MFT
28h	2	Максимальне значення ідентифікатора атрибута, збільшене на одиницю.
24h	2(N-1)	Масив коригування запису MFT розміром 2 х (N-1) байт, де N – значення розміра масива коригування запису із по зі зміщенням 0х06