Logo Море(!) аналитической информации!
IT-консалтинг Software Engineering Программирование СУБД Безопасность Internet Сети Операционные системы Hardware
Обучение от Mail.Ru Group.
Онлайн-университет
для программистов с
гарантией трудоустройства.
Набор открыт!
2009 г.

Записки исследователя NTFS

Artem Baranov

Назад Содержание

Распространенные атрибуты

Ниже даны характеристики основных атрибутов, которые используются в NTFS для описания файлов и каталогов. Обратите внимание, что это формат тел атрибутов соответствующих типов.

Атрибут $FILE_NAME.
Идентификатор 0x30.
Смещение Тип Описание
0x0 MFT_REF Ссылка на родительский каталог (в котором хранится файл).
0x8 ULARGE_INTEGER Время создания.
0x10 ULARGE_INTEGER Время последней модификации атрибута с данными.
0x18 ULARGE_INTEGER Время последней модификации данной записи.
0x20 ULARGE_INTEGER Время последнего доступа к записи.
0x28 ULARGE_INTEGER Размер выделенного дискового пространства для основного атрибута $DATA (кратно размеру кластера).
0x30 ULARGE_INTEGER Реальный размер основного атрибута $DATA.
0x38 ULONG Атрибуты файла.
0x3C ULONG Тип точки разбора.
0x40 UCHAR Длина имени файла в символах.
0x41 UCHAR Пространство имен (0 – POSIX, 1 - Win32, 2 - DOS).
0x42+ WCHAR Имя файла.

Атрибут $FILE_NAME всегда резидентен. Он служит для двух функций. Во-первых, хранит имя файла в записи MFT, причем атрибутов $FILE_NAME у файла может быть несколько (NT эмулирует различные подсистемы DOS и POSIX, в том числе и на уровне файлов). Для MS-DOS атрибут будет хранить имя в формате 8.3, для POSIX символы имени файла с учетом регистра и стандартное имя для Win32 подсистемы. Один атрибут может содержать имя сразу для двух подсистем (обычно, 3 – Win32|DOS, если имя влезает в формат 8.3). Во-вторых, атрибут используется для организации индекса в структуре каталогов, где он выступает как индексный элемент. Заметьте, ошибочным является утверждение, что индексы дублируют только один $FILE_NAME для файла, как раз наоборот, если файл имеет в записи MFT один $FILE_NAME для DOS и другой для Win32, то оба они будут дублироваться и в индексах.

Атрибут $STANDART_INFORMATION
Идентификатор 0x10.
Смещение Тип Описание
0x0 ULARGE_INTEGER Время создания.
0x8 ULARGE_INTEGER Время последней модификации атрибута с данными.
0x10 ULARGE_INTEGER Время последней модификации данной записи.
0x18 ULARGE_INTEGER Время последнего доступа к записи.
0x20 ULONG Атрибуты файла (см. следующую таблицу).
0x24 ULONG Максимальное количество версий.
0x28 ULONG Номер версии.
0x2C ULONG Идентификатор класса.
0x30 ULONG Идентификатор владельца. (начиная с w2k)
0x34 ULONG Идентификатор безопасности. (начиная с w2k)
0x38 ULARGE_INTEGER Изменение квоты. (начиная с w2k)
0x40 ULARGE_INTEGER Номер USN. (начиная с w2k)

Возможны следующие атрибуты файла:
Флаг Описание
0x1 Только чтение
0x2 Скрытый
0x4 Системный
0x20 Архивный
0x80 Устройство
0x100 Временный
0x200 Разреженный
0x400 Точка подключения
0x800 Сжатый
0x1000 Автономный
0x2000 Содержимое не индексируется
0x4000 Зашифрованный

Атрибут $STANDART_INFORMATION всегда резидентен. Атрибут содержит основную информацию о файле и существует для каждого файла и каталога. Обычно $STANDART_INFORMATION располагается первым атрибутом в списке. Поля временных штампов присутствуют также и в атрибуте $FILE_NAME. Идентификатор безопасности используется как индекс в файле $Secure.

Атрибут $DATA.

Атрибут $DATA (идентификатор 0x80) в своем теле содержит данные файла и может быть как резидентным, если атрибут умещается в MFT-записи, так и нерезидентным. На уровне атрибута $DATA реализуются Alternate Data Streams или альтернативные потоки данных. Поток в NTFS – это данные файла. По умолчанию, все записываемые данные в файл попадают в безымянный поток $DATA. Альтернативные потоки – это дополнительные атрибуты $DATA для файла, в которых также могут храниться данные. Главный безымянный поток обычно следует последним в списке атрибутов, а все последующие альтернативные потоки будут добавляться за ним. NTFS адресует потоки (атрибуты $DATA) по их именам (имена атрибутов). Смещение имени потока вычисляется также как смещение имени любого атрибута, как сумма смещения заголовка атрибута со смещением имени, которое указывается в заголовке (при присутствии значения длины имени, при его отсутствии мы имеем дело в неименованным потоком).

Жесткие связи.

Жесткие связи (hard links) – механизм POSIX, который позволяет из разных каталогов обращаться к одному файлу. На уровне NTFS, жесткая ссылка – это дополнительный атрибут $FILE_NAME в MFT-записи файла и такой же атрибут в родительской директории самой ссылки (в этом случае структура INDEX_ENTRY_HEADER_DIR в поле ссылки на файл содержит ссылку на MFT запись для самого файла). Жесткие связи создаются на уже существующий файл и их количество указывается в заголовке MFT записи файла в поле link_count. Если на файл нет жестких связей, это поле равно единице. Если link_count больше единицы тогда количество связей определяется как link_count минус 1. Отличие атрибута $FILE_NAME, который описывает жесткую ссылку в MFT записи, от атрибута, который описывает одно из имен файла, в том, что поле родительской директории содержит ссылку на родительскую директорию самой ссылки, а не ссылку на директорию, которой принадлежит файл.

Для перечисления всех жестких ссылок на файл нужно получить их количество как MFT_RECORD.link_count – 1 и ссылку на родительский каталог файла. Если кол-во ссылок больше нуля, тогда пройтись по всем атрибутам $FILE_NAME и сравнить значения полей родительских ссылок с ссылкой на родительский каталог файла. В случае несоответствия, мы имеем дело с жесткой ссылкой.

Метафайлы.

Первые 11 записей MFT описывают основные метафайлы NTFS. За ними идет не используемая область из нескольких записей и далее пользовательские файлы и каталоги. Структура и описание метафайлов даны в следующей таблице.
Индекс MFT Имя файла Описание
0 $Mft Описывает местоположение MFT файла. При поиске записей через их индексы считывается атрибут $DATA. Стартовый адрес тела атрибута $DATA совпадает с местоположением самого $Mft. В случае, если MFT занимает один отрезок, т.е. не фрагментирован, его можно индексировать как линейный массив, но как правило, MFT фрагментирован, поэтому для поиска записи по индексу нужно искать соответствующий отрезок.
1 $MftMirr Копия первых четырех записей MFT.
2 $LogFile Файл журнала транзакций. Содержит информацию для восстановления NTFS после сбоя.
3 $Volume Содержит информацию о томе, такую как метка тома и версия тома.
4 $AttrDef Определяет имена и идентификаторы атрибутов.
5 . Корневой каталог. Все метафайлы содержатся в корневом каталоге.
6 $Bitmap Файл распределения кластеров на томе. В каждом бите тела содержит статус выделения кластера. Читается также как атрибут $BITMAP для каталогов, но в роли индекса индексной записи выступает номер кластера.
7 $Boot Описывает загрузочный сектор. Стартовый адрес тела нерезидентного атрибута $DATA равен нулю, что соответствует началу тома, где бут сектор, собственно, и расположен.
8 $BadClus Содержит информацию о плохих кластерах тома.
9 $Secure Содержит дескрипторы защиты для всех файлов тома.
10 $Upcase Предназначен для сопоставления имен с буквами в верхнем регистре.
11 $Extend Каталог расширенных метаданных, таких как квоты, точки разбора и идентификаторы объектов.
12 - 15 Записи пустые.
16 - 24 Записи не используются.
Пользовательские файлы и каталоги.

Метафайлы в NTFS могут быть и дополнительными или необязательными. Такие файлы хранятся в директории $Extend и за ними строго не закреплены индексы в MFT. К дополнительным метафайлам относятся $Quota – информация о дисковых квотах, $Reparse – используется для точек разбора (reparse point), $ObjId – позволяет связывать идентификатор объекта файла с записью MFT.

Метафайлы $Secure, $Extend, а также все дополнительные появились начиная с NTFS v3.0, т. е. с Windows 2000.

Ссылки

  1. Zachary, G. Pascal (1994). Showstopper! The Breakneck Race to Create Windows NT and the Next Generation at Microsoft. Warner Books. ISBN 0-02-935671-7.
  2. Кастер, Хелен (1996). Основы Windows NT и NTFS. Русская редакция. ISBN 5-7502-0023-X.

Назад Содержание

Новости мира IT:

Архив новостей

Последние комментарии:

Loading

IT-консалтинг Software Engineering Программирование СУБД Безопасность Internet Сети Операционные системы Hardware

Информация для рекламодателей PR-акции, размещение рекламы — adv@citforum.ru,
тел. +7 985 1945361
Пресс-релизы — pr@citforum.ru
Обратная связь
Информация для авторов
Rambler's Top100 TopList liveinternet.ru: показано число просмотров за 24 часа, посетителей за 24 часа и за сегодня This Web server launched on February 24, 1997
Copyright © 1997-2000 CIT, © 2001-2015 CIT Forum
Внимание! Любой из материалов, опубликованных на этом сервере, не может быть воспроизведен в какой бы то ни было форме и какими бы то ни было средствами без письменного разрешения владельцев авторских прав. Подробнее...