Сканирование NTFS и FAT: низкоуровневая анатомия файловых систем
Любой накопитель — от архаичной флешки до скоростного NVMe SSD — представляет собой лишь сетку адресов ячеек памяти. Порядок в этом хаосе наводят файловые системы. Сканирование структур NTFS и FAT — это не просто поиск ошибок диска, а глубокий криминалистический анализ цифровых таблиц размещения, позволяющий восстановить данные из руин поврежденных разделов.
Техническая пропасть между этими архитектурами определяет подход к их аудиту. Система FAT (File Allocation Table), доминирующая на съемных носителях, хранит метаданные в единой таблице в начале тома. Это ее главная уязвимость: физическое повреждение сектора 0 делает весь диск нечитаемым. Процесс сканирования здесь строится на поиске резервных копий FAT и проверке цепочек кластеров. Алгоритм проходит по каждому адресу, проверяя «висячие» указатели (указывающие в никуда) и циклические ссылки, которые превращают папки в бесконечные рекурсивные петли, зависающие Проводник Windows.
NTFS (New Technology File System) — это полноценный реляционный движок внутри Windows. Здесь нет одной таблицы; информация распределена по метафайлам в корневом каталоге MFT (Master File Table). Сканирование NTFS начинается с анализа файла $MFTMirr — защищенной копии первых 16 записей главной таблицы. Программа сверяет атрибуты $FILE_NAME и $DATA для каждого объекта. Если они рассинхронизированы, возникают фантомные файлы-дубликаты или исчезают права доступа.
Ключевым этапом является проверка журнала транзакций ($LogFile). В отличие от FAT, NTFS журналирует каждое действие. При внезапном отключении питания алгоритм сканирования прокручивает этот лог назад, отменяя незавершенные операции записи. Это предотвращает появление «битых» файлов нулевой длины после сбоя. Утилиты также анализируют индексные атрибуты $I30, которые работают как внутренние папки B-дерева, обеспечивая мгновенный поиск даже среди миллионов объектов.
Для обеих систем критически важен анализ битовой карты ($Bitmap в NTFS или соответствующие области в FAT). Эта карта фиксирует статус каждого физического кластера: занят он или свободен. Ошибки здесь приводят к классической ситуации «диск полон, но ничего нет». Сканер выявляет расхождения, когда запись в MFT утверждает, что файл занимает сектор, который по карте помечен как пустой, позволяя исправить распределение пространства без потери данных.
Профессиональное сканирование работает в режиме прямого чтения (Raw Mode), минуя драйверы ОС. Оно способно извлечь структуру каталогов с диска, у которого полностью разрушен загрузочный сектор, интерпретируя байтовые последовательности напрямую. Понимание разницы между связным списком кластеров FAT и многомерной базой MFT позволяет реанимировать носители, которые стандартные средства проверки chkdsk признают безнадежными.
