Hoy descubrí quela tabla maestra de archivos es en sí misma un archivo. Sin embargo, supongo que ese archivo no tiene una ruta, no puedes abrirlo, eliminarlo ni modificarlo. Entonces, si se trata de un archivo, ¿tal vez las particiones también sean archivos? ¿Qué define un archivo NTFS?
Respuesta1
El camino hacia el MFT es \$Mft... el espejo es \$MftMirr. Windows le impide enumerarlos, abrirlos o modificarlos mientras se está ejecutando, pero son visibles si observa el volumen debajo de algunas herramientas (como EnCase).
La documentación NTFS se refiere a ellos como "metarchivos." Sus nombres son menos importantes para Windows que la posición que ocupan en la tabla de archivos (es decir, $Mftes el archivo número 1 en el disco), lo cual tiene sentido porque Windows no puede localizar archivos por nombre sin el contenido de los metarchivos, por lo que Probablemente exista en la API NTFS una forma de acceder a archivos solo por número de archivo (algo así como abrir un archivo en Linux por número de "inodo" en lugar de nombre).
Respuesta2
Sin embargo, supongo que ese archivo no tiene una ruta, no puedes abrirlo, eliminarlo ni modificarlo.
Puedes llamar a ReadFile() y darle el nombre del archivo.$MFT. oh
¿Qué define un archivo NTFS?
Técnicamente, un flujo de bits. Entonces, todo lo que hay en un disco, incluido el sector de arranque, es unarchivo. Sin embargo, una partición no es realmente un archivo. Realmente no abres una partición per se, sino un archivo en la partición.
Citaré a Microsoft aquí:
Todos los datos del sistema de archivos, incluidos el código de arranque del sistema y los directorios, se almacenan en archivos mediante el sistema de archivos NTFS.
http://msdn.microsoft.com/en-us/library/windows/desktop/aa364056(v=vs.85).aspx
Respuesta3
A continuación se muestra una vista muy simplista, ya que NTFS se ha ampliado con Journaling, etc.
Particionesson entradas en una tabla que definen áreas del disco que se utilizarán para los volúmenes. Son estructuras de datos que vivenafuerael sistema de archivos y son utilizados por el BIOS y el sistema operativo para estructurar cómo se almacenan las cosas en el disco.
Volúmenes NTFSContiene una tabla maestra de archivos en el núcleo del sistema de archivos NTFS. Es un archivo que el sistema operativo abre y utiliza para estructurar el almacenamiento y almacenar metadatos sobre los archivos que contiene el volumen. Cada archivo en el disco tiene una entrada de registro en la tabla maestra de archivos y, si es lo suficientemente pequeño, se encuentra completamente dentro de la MFT.
Los archivos más grandes son extensiones a las que apunta la entrada del registro del archivo.
Los directorios son archivos que contienen información de índice sobre las entradas de registros de archivos y, si son lo suficientemente pequeños, también se encuentran completamente dentro de la MFT.
Debido al hecho de que los archivos pequeños pueden vivir completamente en el MFT y que puede haber muchos archivos y directorios en el volumen, el MFT también puede fragmentarse para aumentar su espacio de almacenamiento (a diferencia de FAT, que estaba limitado a un área preestablecida determinada).