Antech
Silver Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Seymour
файл оказался нулевого размера
Сорри, это я протормозил. Каталоги не имеют размера в directory entry (он там равен нулю, хотя, естественно, каталог занимает место). Когда Чекдиск/Скандиск превращает каталог в файл, он присваивает ему размер, скарее всего, по таблице распределения кластеров. Можно посмотреть список кластеров каталога Windows в WinHex (правая кнопка - List Clusters). Он покажет список кластеров и количество фрагментов. Скорее всего, он покажет 1 фрагмент, состоящий из двух кластеров.
Фрагмент полотна
Посмотрел дамп. Скорее всего, размер кластера был 64 сектора (32 KiB). В дампе можно видеть ~30 каталогов. Первый из них - Windows. Анализ каталога Windows показывает, что сейчас он, скорее всего, занимает только один кластер и действительно не содержит ни одного каталога. Вернее, есть только один удаленный каталог TEMP (от его имени осталось только eEMP, потому как он удален). Я искал каталоги как по флагу 10, так и по нулевому размеру в directory entry, так что вероятность ошибки минимальна. Также удалось найти всего один каталог (имя, естественно, неизвестно), который, по крайней мере когда-то, был в каталоге Windows. Имена файлов: BASIC2.VXD, WDMMDMLD.VXD, SERIAL.VRD, MFC42D.DLL, FXTLS423.DLL, FSBUI.DLL, FERRO.EVT, MSMOUSE.VXD и т. д. (Windows/System или System32?). В принципе, можно добавить в каталог Windows ссылку на этот каталог:
1. Скачайте дамп directory entry.
2. Откройте в WinHex каталог Windows (правая кнопка, GoTo Beginning of directory).
3. Пролистайте содержимое каталога, пока не найдете сплошного куска из нулей на много секторов (по крайней мере, так выглядит на Вашем дампе).
4. Откройте в WinHex мой дамп directory entry, выделите его полностью мышой. Нажмите Ctrl+C.
5. Вернитесь на закладку с каталогом Windows. Поставьте курсор в самый первый байт "нулевого" фрагмента. Это должен быть сектор 30 в координатах Вашего дампа (т. е. от начала каталога Windows). Можно также перейти к нужной позиции от начала каталога Windows: Alt+G, 1E Sectors, Current Position, OK (если в настройках WinHex не стоят hex offsets, вместо 1E введите 30).
6. Курсор где надо? Тогда жмите Ctrl+B, OK. Теперь - Save Sectors и проверяйте, не появился ли в Windows каталог System. |
) 