基于Windows的磁盤數(shù)據(jù)清除技術(shù)
一個目錄的MFT將其目錄中的文件名與子目錄名進(jìn)行排序,并保存在索引根屬性中。所以可以通過訪問根目錄的索引分配找到磁盤上面的一級目錄,并記錄下其MFT參考號,然后在通過該參考號獲取MFT文件,進(jìn)而再找到其索引分配,就可以將一級目錄下的子目錄全部及找到,直到不再有子目錄為止??山⒊稣麄€磁盤的目錄樹,每項MFT文件中都記錄了該文件是被刪除或正在被使用的目錄。通過解析以上分析的屬性就能獲取這些信息,該算法流程如圖1所示。本文引用地址:http://www.biyoush.com/article/202325.htm
圖中每一步操作都是根據(jù)MFT表的屬性進(jìn)行編碼。
第一步從分區(qū)信息表即中可以獲得這些有用的信息。讀取特定扇區(qū)的信息可以調(diào)用CreateFile與ReadFile來實現(xiàn)。讀取某個MFT元文件的具體方法是:通過BPB參數(shù)獲取$MFT的位置,然后根據(jù)源文件的MFT記錄號,移動句柄,就可以順利讀取MFT元文件。由于每個MFT文件的大小是1 kB,所以句柄的偏移dwStartSector=MFT文件記錄號×2+$MFT所在的扇區(qū)號。即可訪問任何一個磁盤的MFT元數(shù)據(jù)文件信息。
第二步根據(jù)根目錄的MFT文件信息,解析索引A0H屬性從而找出索引信息,這涉及到解碼二進(jìn)制文件。
第三步根據(jù)索引中的信息找出根目錄的子目錄的MFT編號,再根據(jù)這個編號打開MFT文件內(nèi)容,找出30H屬性與MFT屬性頭,解析文件名,以及標(biāo)記文件是否為目錄,是否被刪除的信息。
第四步如果該文件是目錄,則繼續(xù)查找它下面的子目錄,否則轉(zhuǎn)第五步。
第五步 如果該文件已刪除,則返回第一步;否則,打開它對應(yīng)的MFT文件,然后解析80H屬性,找到文件數(shù)據(jù)段開始的簇號,并記錄下來。
2.2 建立磁盤對應(yīng)的文件樹
建立一個N叉樹來表示每一個磁盤中的文件存放,只是它的數(shù)據(jù)信息就是上面獲取的文件數(shù)據(jù)段開始的簇的編號。遍歷文件樹的過程,即是獲取簇號以及對相應(yīng)簇的信息進(jìn)行清除的過程。每個磁盤中MFT表的數(shù)量巨大,所以在遍歷完根目錄下子目錄的所有文件時,要刪除該子樹,便于釋放內(nèi)存,從而減少算法的空間開銷。而且N叉樹的數(shù)據(jù)結(jié)構(gòu)本身對遍歷效率也有很大提升,筆者采用深度優(yōu)先遞歸搜索,并對此進(jìn)行優(yōu)化,取得了良好效果。
評論