NTFS: O que é um arquivo?

Question

Hoje, descobri que a tabela de arquivos mestre é em si um arquivo . No entanto, acho que esse arquivo não tem um caminho, você não pode abri-lo, excluí-lo ou modificá-lo. Então, se isso é um arquivo, talvez as partições sejam arquivos também? O que define um arquivo NTFS?

    

Answer 1

O caminho para a MFT é \$Mft - o espelho é \$MftMirr . O Windows impede você de listar, abrir ou modificá-los enquanto está em execução, mas eles ficam visíveis se você observar o volume em algumas ferramentas (como o EnCase).

A documentação do NTFS se refere a eles como " metarquivos ." Os nomes deles são menos importantes para o Windows do que a posição que ocupam na tabela de arquivos (ou seja, $Mft é o arquivo número 1 no disco) - o que faz sentido porque o Windows não pode localizar arquivos pelo nome sem o conteúdo dos metarquivos. por isso, provavelmente existe na API do NTFS uma forma de acessar os arquivos apenas pelo número do arquivo (como abrir um arquivo no Linux pelo número "inode" em vez do nome).

    

Answer 2

However, I guess that file doesn't have a path, you cannot open, delete, or modify it.

Você pode chamar ReadFile () e dar a ele o nome de arquivo $ MFT . O

What defines an NTFS file?

Tecnicamente, um fluxo de bits. Então, tudo em um disco, incluindo o setor de inicialização, é um arquivo . Uma partição não é realmente um arquivo. Você não abre uma partição propriamente dita, mas um arquivo na partição.

Citarei a Microsoft aqui:

All file system data, including the system bootstrap code and directories, are stored by the NTFS file system in files.

link

    

Answer 3

Abaixo está uma visão muito simplista como o NTFS foi estendido com o Journaling, etc.

Partições são entradas em uma tabela que definem áreas do disco a serem usadas para volumes. Eles são estruturas de dados que vivem fora do sistema de arquivos e são usados pelo BIOS e pelo sistema operacional para estruturar como as coisas são armazenadas no disco.

Volumes NTFS contêm uma tabela de arquivos mestre no núcleo do sistema de arquivos NTFS. É um arquivo que o sistema operacional abre e usa para estruturar armazenamento e armazenar metadados sobre os arquivos contidos no volume. Cada arquivo no disco tem uma entrada de registro na tabela de arquivos mestre e, se for pequeno o suficiente, deve ser totalmente integrado à MFT.

Arquivos maiores são Extensões para as quais a entrada de registro de arquivo aponta.

Diretórios são arquivos que contêm informações de índice sobre entradas de registros de arquivos e, se pequenos o suficiente, também vivem inteiramente dentro da MFT.

Devido ao fato de que arquivos pequenos podem viver inteiramente na MFT e que podem existir muitos arquivos e diretórios no volume, a MFT também pode ser fragmentada para aumentar seu espaço de armazenamento (diferente da FAT que foi limitada a uma certa predefinição área).

• link
• link
• link