基于Windows的磁盤數據清除技術
加入技術交流群
一個目錄的MFT將其目錄中的文件名與子目錄名進行排序，并保存在索引根屬性中。所以可以通過訪問根目錄的索引分配找到磁盤上面的一級目錄，并記錄下其MFT參考號，然后在通過該參考號獲取MFT文件，進而再找到其索引分配，就可以將一級目錄下的子目錄全部及找到，直到不再有子目錄為止。可建立出整個磁盤的目錄樹，每項MFT文件中都記錄了該文件是被刪除或正在被使用的目錄。通過解析以上分析的屬性就能獲取這些信息，該算法流程如圖1所示。本文引用地址：http://www.104case.com/article/202325.htm
圖中每一步操作都是根據MFT表的屬性進行編碼。
第一步從分區信息表即中可以獲得這些有用的信息。讀取特定扇區的信息可以調用CreateFile與ReadFile來實現。讀取某個MFT元文件的具體方法是：通過BPB參數獲取$MFT的位置，然后根據源文件的MFT記錄號，移動句柄，就可以順利讀取MFT元文件。由于每個MFT文件的大小是1 kB，所以句柄的偏移dwStartSector=MFT文件記錄號×2+$MFT所在的扇區號。即可訪問任何一個磁盤的MFT元數據文件信息。
第二步根據根目錄的MFT文件信息，解析索引A0H屬性從而找出索引信息，這涉及到解碼二進制文件。
第三步根據索引中的信息找出根目錄的子目錄的MFT編號，再根據這個編號打開MFT文件內容，找出30H屬性與MFT屬性頭，解析文件名，以及標記文件是否為目錄，是否被刪除的信息。
第四步如果該文件是目錄，則繼續查找它下面的子目錄，否則轉第五步。
第五步 如果該文件已刪除，則返回第一步；否則，打開它對應的MFT文件，然后解析80H屬性，找到文件數據段開始的簇號，并記錄下來。
2．2 建立磁盤對應的文件樹
建立一個N叉樹來表示每一個磁盤中的文件存放，只是它的數據信息就是上面獲取的文件數據段開始的簇的編號。遍歷文件樹的過程，即是獲取簇號以及對相應簇的信息進行清除的過程。每個磁盤中MFT表的數量巨大，所以在遍歷完根目錄下子目錄的所有文件時，要刪除該子樹，便于釋放內存，從而減少算法的空間開銷。而且N叉樹的數據結構本身對遍歷效率也有很大提升，筆者采用深度優先遞歸搜索，并對此進行優化，取得了良好效果。
評論