Восстановление данных. Практическое руководство
Часть 39 из 91 Информация о книге
Таблица 6.5. Структура нерезидентного атрибута
Смещение Размер (байт) Значение Описание 00h4 Тип атрибута (например, ,0x20)0x8004h4 Длина атрибута, включая этот заголовок 08h1 01hФлаг нерезидентности (non-resident flag) 09h1 NДлина имени атрибута (ноль, если атрибут безымянный) 0Ah2 40hСмещение имени (ноль, если атрибут безымянный) 0Ch2 Флаги Значение Описание 0001hСжатый атрибут (compressed) 4000hЗашифрованный атрибут (encrypted) 8000hРазреженный атрибут (sparse) 0Eh2 Идентификатор атрибута (attribute ID) 10h8 Начальный виртуальный кластер (starting VCN) 18h8 Конечный виртуальный кластер (last VCN) 20h2 2N+40hСмещение списка отрезков (data runs) 22h2 Размер блока сжатия (compression unit size), округленный до 4 байт в большую сторону 24h4 00hИспользуется для выравнивания 28h8 Выделенный размер (allocated size), округленный до размера кластера 30h8 Реальный размер (real size) 38h8 Инициализированный размер потока (initialized data size of the stream) 40h2N UNICODEИмя атрибута (если есть) 2N+40h… Список отрезков (data runs) Типы атрибутов
NTFS поддерживает большее количество предопределенных типов атрибутов, перечисленных в табл. 6.6. Тип атрибута определяет его назначение и формат представления тела. Полное описание всех атрибутов заняло бы не одну главу, а целую книгу, поэтому здесь приводятся лишь наиболее "ходовые" из них, а за информацией об остальных обращайтесь к документации Linux-NTFS Project.
Таблица 6.6. Основные типы атрибутов
Значение ОС Условное обозначение Описание 010hЛюбая $STANDARD_INFORMATIONСтандартная информация о файле (время, права доступа) 020hЛюбая $ATTRIBUTE_LISTСписок атрибутов 030hЛюбая $FILE_NAMEПолное имя файла 040hWindows NT $VOLUME_VERSIONВерсия тома 040hWindows 2000 $OBJECT_IDГлобально уникальный идентификатор (GUID) и прочие ID 050hЛюбая $SECURITY_DESCRIPTORДескриптор безопасности и списки прав доступа (ACL) 060hЛюбая $VOLUME_NAMEИмя тома 070hЛюбая $VOLUME_INFORMATIONИнформация о томе 080hЛюбая $DATAОсновные данные файла 090hЛюбая $INDEX_ROOTКорень индексов 0A0hЛюбая $INDEX_ALLOCATIONВетви (sub-nodes) индекса 0B0hЛюбая $BITMAPКарта свободного пространства 0C0hWindows NT $SYMBOLIC_LINKСимволическая ссылка 0C0hWindows 2000 $REPARSE_POINTДля сторонних производителей 0D0hЛюбая $EA_INFORMATIONРасширенные атрибуты для HPFS 0E0hЛюбая $EAРасширенные атрибуты для HPFS 0F0hWindows NT $PROPERTY_SETУстарело и ныне не используется 100hWindows 2000 $LOGGED_UTILITY_STREAMИспользуется шифрующей файловой системой (EFS)