Подъем рухнувшей NT

крис касперски ака мыщъх

Хакер, номер #093, стр. 093-034-5

С одной стороны это хорошо, с другой — плохо, поскольку для копирования данных требуется винчестер солидного объема, не говоря уже про необходимость повторной установки системы со всеми приложениями. Поэтому, на практике обычно действуют так: сначала запускают утилиту неразрушающего восстановления, вытягивая из диска наиболее ценные данные, а потом вызывают chkdsk — вдруг повезет и все разрушения исчезнут?

Таких утилит существует очень много, но лучшими на мой взгляд являются NtExplorer от Runtime Software (www.runtime.org) и R-Studio от R-TT Inc (www.r-tt.com). Обе утилиты платные, однако, нашего пользователя подобные обстоятельства не смущают, тем более, что закон не запрещает держать дома Осла.

NtExplorer – это редактор диска, поддерживающий NTFS, и ориентированный на ручную работу, однако, благодаря интуитивно-понятному интерфейсу с ним может управиться даже ребенок. В отличии от него, R-Studio представляет собой автоматизированный инструмент, осваиваемый моментально и позволяющий скопировать все уцелевшие файлы несколькими щелчками мыши. В NtExplorer'е каждый файл приходится извлекать отдельно через серию операций, что, разумеется, крайне непроизводительно, однако, при некоторых разрушениях файловой системы, автоматы вроде R-Studio виснут окончательно и бесповоротно или выдают один лишь мусор, в то время как NtExplorer делает только то, что ему прикажут.

Несколько слов о внутреннем устройстве NTFS. Вся информация о файлах (и каталогах) дискового тома хранится в специальном файле, именуемом MFT (Master File Table – Главная Файловая Таблица), который по умолчанию хранится в начале раздела, резервируя для себя 10% от общего размера тома, однако, при недостатке места зарезервированное, но еще не занятое пространство, выделяется в "бюджет общего пользования" и тогда по мере роста MFT начинается фрагментироватся, размещаясь где попало. Это — если смотреть снаружи. Изнутри MFT представляет собой массив файловых записей (FILE RECORD), описывающих свойства и порядок размещения на диске соответствующих им файлов. Большинство файлов описываются одной записью, некоторые (особо длинные и фрагментированные) требуют от двух и более.

Каждая файловая запись начинается с сигнатуры "FILE*\x00", поэтому может быть обнаружена посекторным сканированием диска даже когда таблица разделов, загрузочная запись и начало MFT полностью разрушены. Как следствие — NTFS легко выдерживает форматирование и прочие издевательства, чего нельзя сказать о FAT.

Шаг 5: Восстановление операционной системы

Только в исключительных случаях падение NT сопровождается разрушением файловой системы (особенно на NTFS-разделах). Обычно, файловая система остается цела, а NT гробится из-за разрушения реестра некорректно работающим программным обеспечением. В стародавние времена проблема решалась установкой новой NT "поверх" упавшей, но вот сейчас… наложение сервис-паков обновляет ядро NT, делая переустановку невозможной. Инсталлятор, ругнувшись на более свежую версию, предложит либо прервать установку, либо установить систему с нуля, после чего все программы (и сервис-паки) придется переустанавливать заново, что отнимает уйму времени.