Antech
Silver Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору acidplace Это не MFT. Это корневой каталог! И, естественно, в нем есть записи для системных файлов (в NTFS имена файлов записаны как в файловых записях, так и в индексах каталогов). Ведь системные файлы, включая файл $MFT (описывает расположение всей MFT) находятся в корневом каталоге, просто виндовый драйвер файловой системы скрывает их, а через редактор диска все видно. Если Вы пролистаете немного выше, скорее всего увидите сектор, который начинается строкой INDX. Это начало записи корневого каталога. Вспомните, что я говорил о файловых записях. Запись начинается в начале сектора, строкой FILE. Вся MFT состоит из таких записей, они обычно расположены последовательно (но ничто не мешает MFT быть фрагментированной, как у меня на ноуте). Каждая запись, как правило, занимает два сектора. MFT начинается с файловой записи $MFT, за ней следуют $MFTMirr, $LogFile, $Volume, $AttrDef, "." (Корневой каталог, имя состоит из одной точки). (Касательно каталогов, в т. ч. корневого. Они состоят из двух частей. Первая часть - это файловая запись, где, в частности, записано имя каталога, расположение нерезидентного списка файлов/подкаталогов (if any) и т. д. Вторая часть - это список (INDX, индекс) файлов и подкаталогов данного каталога (вот этот список представлен на Ваших скриншотах). Для мелких каталогов внешнего списка нет, список расположен в самой файловой записи.) Так вот, Вам надо искать файловую запись $MFT, а не элемент файла $MFT в корневом каталоге. Как искать, я уже писал. Вот формат заголовка файловой записи из статьи Фролова, ссылку на которую я давал. [pre]Смещение, Длина, Описание байт байт 0x00 4 Текстовая строка "FILE" - признак записи MFT 0x04 2 Смещение массива корректировки записи Update Sequence 0x06 2 Размер массива корректировки записей Update Sequence 0x10 2 Последовательный номер сектора в записи MFT 0x12 2 Счетчик ссылок 0x14 2 Смещение начала списка атрибутов 0x16 2 Флажки, отмечающее состояние записи MFT 0x18 4 Реальный размер записи MFT 0x1C 4 Размер памяти, занимаемый записью MFT 0x20 8 Файловый номер (File Reference) базовой записи MFT 0x28 2 Максимальное значение идентификатора атрибута + 1 0x2A 2 Массив корректировки записи MFT[/pre] Далее расположены структуры-атрибуты, описание некоторых есть в статье, более полное - в доках "Linux NTFS", которые элементарно ищутся в Гугле. Успехов в исследованиях |