基于Windows的磁盤數(shù)據(jù)清除技術(shù)
加入技術(shù)交流群
一個(gè)目錄的MFT將其目錄中的文件名與子目錄名進(jìn)行排序，并保存在索引根屬性中。所以可以通過訪問根目錄的索引分配找到磁盤上面的一級(jí)目錄，并記錄下其MFT參考號(hào)，然后在通過該參考號(hào)獲取MFT文件，進(jìn)而再找到其索引分配，就可以將一級(jí)目錄下的子目錄全部及找到，直到不再有子目錄為止?？山⒊稣麄€(gè)磁盤的目錄樹，每項(xiàng)MFT文件中都記錄了該文件是被刪除或正在被使用的目錄。通過解析以上分析的屬性就能獲取這些信息，該算法流程如圖1所示。本文引用地址：http://www.ex-cimer.com/article/202325.htm
圖中每一步操作都是根據(jù)MFT表的屬性進(jìn)行編碼。
第一步從分區(qū)信息表即中可以獲得這些有用的信息。讀取特定扇區(qū)的信息可以調(diào)用CreateFile與ReadFile來實(shí)現(xiàn)。讀取某個(gè)MFT元文件的具體方法是：通過BPB參數(shù)獲取$MFT的位置，然后根據(jù)源文件的MFT記錄號(hào)，移動(dòng)句柄，就可以順利讀取MFT元文件。由于每個(gè)MFT文件的大小是1 kB，所以句柄的偏移dwStartSector=MFT文件記錄號(hào)×2+$MFT所在的扇區(qū)號(hào)。即可訪問任何一個(gè)磁盤的MFT元數(shù)據(jù)文件信息。
第二步根據(jù)根目錄的MFT文件信息，解析索引A0H屬性從而找出索引信息，這涉及到解碼二進(jìn)制文件。
第三步根據(jù)索引中的信息找出根目錄的子目錄的MFT編號(hào)，再根據(jù)這個(gè)編號(hào)打開MFT文件內(nèi)容，找出30H屬性與MFT屬性頭，解析文件名，以及標(biāo)記文件是否為目錄，是否被刪除的信息。
第四步如果該文件是目錄，則繼續(xù)查找它下面的子目錄，否則轉(zhuǎn)第五步。
第五步 如果該文件已刪除，則返回第一步；否則，打開它對(duì)應(yīng)的MFT文件，然后解析80H屬性，找到文件數(shù)據(jù)段開始的簇號(hào)，并記錄下來。
2．2 建立磁盤對(duì)應(yīng)的文件樹
建立一個(gè)N叉樹來表示每一個(gè)磁盤中的文件存放，只是它的數(shù)據(jù)信息就是上面獲取的文件數(shù)據(jù)段開始的簇的編號(hào)。遍歷文件樹的過程，即是獲取簇號(hào)以及對(duì)相應(yīng)簇的信息進(jìn)行清除的過程。每個(gè)磁盤中MFT表的數(shù)量巨大，所以在遍歷完根目錄下子目錄的所有文件時(shí)，要?jiǎng)h除該子樹，便于釋放內(nèi)存，從而減少算法的空間開銷。而且N叉樹的數(shù)據(jù)結(jié)構(gòu)本身對(duì)遍歷效率也有很大提升，筆者采用深度優(yōu)先遞歸搜索，并對(duì)此進(jìn)行優(yōu)化，取得了良好效果。
評(píng)論