NTFS: Что такое файл?

1

Сегодня я обнаружил, что главная таблица файлов сама по себе является файлом . Тем не менее, я думаю, что файл не имеет пути, вы не можете открыть, удалить или изменить его. Так что, если это файл, может быть, разделы тоже файлы? Что определяет файл NTFS?

ntfs

— artistoex
источник

en.wikipedia.org/wiki/Computer_file

— Ƭᴇcʜιᴇ007

MFT - это «объект NT» в диспетчере объектов NT. Смотрите здесь

— allquixotic

technet.microsoft.com/en-us/library/cc781134(v=ws.10).aspx многое объясняет. У вас есть конкретная цель, которую вы пытаетесь достичь?

— Брэд

3

Путь к MFT есть \$Mft- зеркало есть \$MftMirr. Windows запрещает вам перечислять, открывать или изменять их во время работы, но они видны, если вы посмотрите на том под некоторыми инструментами (такими как EnCase).

В документации NTFS они называются « метафайлами ». Их имена менее важны для Windows, чем позиция, которую они занимают в таблице файлов (т. $MftЕ. Файл № 1 на диске), что имеет смысл, поскольку Windows не может найти файлы по имени без содержимого метафайлов, поэтому вероятно, глубоко в API NTFS есть способ доступа к файлам только по номеру файла (вроде как открытие файла в Linux по номеру «inode» вместо имени).

— LawrenceC
источник

Почему Windows не запрещает EnCase перечислять эти файлы?

— artistoex

Вы не можете смотреть на подключенный том в реальном времени с помощью EnCase (AFAIK, я давно с ним не играл), но он будет отображать эти файлы на захваченном образе или в автономном режиме.

— LawrenceC

2

Тем не менее, я думаю, что файл не имеет пути, вы не можете открыть, удалить или изменить его.

Вы можете вызвать ReadFile () и присвоить ему имя файла $ MFT . О

Что определяет файл NTFS?

Технически это поток битов. Таким образом, все на диске, включая загрузочный сектор, является файлом . Раздел на самом деле не файл, хотя. Вы действительно не открываете раздел как таковой, но файл в разделе.

Я процитирую Microsoft здесь:

Все данные файловой системы, включая системный код начальной загрузки и каталоги, хранятся файловой системой NTFS в файлах.

http://msdn.microsoft.com/en-us/library/windows/desktop/aa364056(v=vs.85).aspx

— surfasb
источник

Psst! Один может открыть раздел в виде файла . Однако держите эту запутанную информацию под своей шляпой, поскольку она не относится к структурам NTFS на диске. (-:

— JdeBP

@JdeBP: это не возвращает дескриптор файла. Это звонки непосредственно на драйвер устройства.

— Surfasb

Он возвращает дескриптор файла. Это единственная (не ошибочная) вещь, которую он может вернуть. Вы окажетесь в проигрыше, пытаясь найти способы переопределения дескрипторов для файловых объектов диспетчера ввода-вывода, так как они не являются файловыми дескрипторами . Я уже указал на область различий: структуры данных NTFS на диске. Но не дышите слишком сильно, чтобы кто-то не заметил, что вопрос и ответы здесь говорят о вещах, которые можно открывать и изменять, что, конечно, можно сделать с разделами, открыв их в виде файлов.

— JdeBP

Также не забывайте, что в NTFS файл на самом деле может быть одним или несколькими потоками битов - вы можете иметь несколько или «альтернативных» потоков.

— LawrenceC

0

Ниже приведено очень упрощенное представление, поскольку NTFS была расширена за счет ведения журналов и т. Д.

Разделы - это записи в таблице, которые определяют области диска, которые будут использоваться для томов. Это структуры данных, которые находятся за пределами файловой системы и используются BIOS и ОС для структурирования того, как вещи хранятся на диске.

Тома NTFS содержат основную таблицу файлов в ядре файловой системы NTFS. Это файл, который операционная система открывает и использует для структурирования хранилища и хранения метаданных о файлах, содержащихся в томе. Каждый файл на диске имеет запись в таблице основных файлов и, если он достаточно мал, полностью находится в MFT.

Большие файлы - это экстенты, на которые указывает запись в файле.

Каталоги - это файлы, которые содержат индексную информацию о записях файловых записей и, если они достаточно малы, также полностью находятся в MFT.

Ввиду того, что небольшие файлы могут целиком храниться в MFT и что в томе может быть много файлов и каталогов, MFT также может быть фрагментирован для увеличения своего пространства хранения (в отличие от FAT, который был ограничен определенной предустановленной областью).

— Fiasco Labs
источник