Файловая система NTFS. Метафайлы

В предыдущих сериях…
Любые данные в файловой системе хранятся в виде файлов (как пользовательские, так и служебные)
Файл в терминах NTFS представлен набором атрибутов
Основные атрибуты файла: $Standard_Information, $File_Info, $Data, $Attribute_List

Категории данных
Категория данных файловой системы – общая информация о файловой системе в целом
Категория данных содержимого – фактическое содержимое файла
Категория метаданных – различная служебная информация о состоянии файла/ов
Категория данных имен файлов – информация об именах файлов
Категория прикладных данных – описание различных специальных возможностей файловой системы

Взаимодействие пяти категорий данных

MFT
MFT – сердце файловой системы

MFT и $MFT

Структура MFT-записи

$Boot и $Volume
$Boot ссылается на первый кластер файловой системы, хотя в реальности под загрузочную запись выделяется 16 секторов
В NTFS может находится резервная копия NTFS boot sector, причем наиболее вероятные 3 места её расположения
$Volume хранит в себе метку тома и идентификатор
$Volume_name – имя тома в кодировке Unicode UTF-16
$Volume_information

$BitMap
Атрибут $DATA этого файла содержит один бит для каждого кластера файловой системы; например, бит 0 представляет кластер 0, а бит 1 представляет кластер 1. Если бит равен 1, значит, кластер выделен; если бит равен 0, кластер свободен.
ПРИМЕР: Если кластер равен 2 секторам, то для NTFS Boot Sector в файле $Bitmap будет следующая картина:
1111 0000 ……0100111000111

$logFile
Файл $LogFile (запись MFT 2) используется в качестве журнала NTFS. Он обладает стандартными файловыми атрибутами, а данные журнала хранятся в атрибуте $ DATA.
Журнал делится на страницы по 4096 байт и хранит в себе информацию необходимую для восстановления тома в случае каких-либо проблем с записью
В данный файл изменения записываются либо ядром ФС, либо ОС