☰

NTFS 格式（mkfs）——磁盘的哪些区域会被覆盖？

tag-icon • tag-icon linux partitioning filesystems data-recovery ntfs
NTFS 格式（mkfs）——磁盘的哪些区域会被覆盖？

我意外地在 2Tb 外置硬盘上运行了mkfs.ntfs -Q /dev/sda（而不是/dev/sda6）。幸运的是，开头有一个 1G 未使用的分区，结尾也有足够的空间：

Device     Boot      Start        End    Sectors  Size Id Type
/dev/sda1             2048    2099199    2097152    1G  b W95 FAT32
/dev/sda2  *       2099200 3739256831 3737157632  1.8T  7 HPFS/NTFS/exFAT
/dev/sda4       3739256832 3907029166  167772335   80G  5 Extended
/dev/sda5       3739258880 3751841791   12582912    6G 83 Linux
/dev/sda6       3751843840 3907029166  155185327   74G  7 HPFS/NTFS/exFAT

安全吗/dev/sda2？或者 mkfs.ntfs 会在目标空间中间写入元数据，在这种情况下我猜任何文件可能会在没有任何警告的情况下被损坏吗？

答案1

是/dev/sda2安全的？

总体来说，不是。请继续阅读，了解我为什么这么认为。

示例过程

我的 2TB 硬盘大小为 2000398934016 字节。目标是调查mkfs.ntfs -Q这种大小的设备会造成什么影响。

我创建了一个完全相同大小的稀疏文件：

$ # the filesystem must support sparse files
$ truncate -s 2000398934016 fakesda

ls -ls确认整个文件是稀疏的：

$ ls -ls fakesda
0 -rw-r--r-- 1 kamil kamil 2000398934016 Oct 31 18:48 fakesda

（第一章0讲了这一点）。但同时sparsemap（稍后会很有用）会这样做：

$ sparsemap fakesda
HOLE 2000398934016

我可以这样做mkfs.ntfs -FQ fakesda，但mkfs.ntfs会假设扇区大小为 512 字节。在此示例中，我们假设我的磁盘使用 4096 字节作为其逻辑扇区大小。在这种情况下，我认为我可以使用--sector-size选项mkfs.ntfs（请参阅man 8 mkfs.ntfs）。但为了确保 solemkfs.ntfs -Q会对我的磁盘做什么，我决定从创建一个循环设备fakesda：

$ sudo losetup -f --show --sector-size 4096 fakesda
/dev/loop0

sparsemap告诉我fakesda仍然完全稀疏。我mkfs.ntfs -Q在循环设备上运行：

$ sudo mkfs.ntfs -Q /dev/loop0

我销毁了循环设备，sync以防万一：

$ sudo losetup -d /dev/loop0
$ sync

现在文件有多稀疏？

$ sparsemap fakesda
DATA 12288
HOLE 4096
DATA 110592
HOLE 250049753088
DATA 61460480
HOLE 750088122368
DATA 67125248
HOLE 1000132341760
DATA 4096

请参阅sparsemap -h以了解如何解释这一点

该文件被解释为数据和洞的序列，例如给定一个包含 8192 字节数据的文件，后面跟着一个 4096 字节洞，后面跟着 8192 字节数据，则 sparsemap 的输出将是：

DATA 8192
HOLE 4096
DATA 8192

在我的结果中，每一DATA行表示受影响的片段mkfs.ntfs。我可以看到mkfs.ntfs 做在目标空间的中间写一些内容。

最后我用 删除了该文件rm fakesda。

你的具体情况

您可以使用磁盘的确切大小（和扇区大小）以及您使用的磁盘大小来进行自己的测试mkfs.ntfs。这样，您可能能够准确识别受影响的碎片，并判断它们属于哪个分区（哪个旧文件系统）。将碎片映射到旧文件系统中的特定文件或元数据可能并不容易，这是一个不同的问题。

您发布的分区表告诉我，您的情况中的扇区大小为 512 字节。我认为您可以直接使用，mkfs.ntfs -FQ fakesda无需费心losetup。我的示例故意使用了不同的扇区大小，这样答案就更通用了。

怀疑

如果mkfs.ntfs -Q将零写入其操作的文件的某个部分，并且如果它足够聪明，可以通过稀疏文件来实现这一点，那么我的程序就不会检测到这一点。坦率地说，我不知道该工具是否这样做。如果它这样做了，那么你需要比我的程序更多的东西来找到全部受影响的碎片。

该程序的不完善并不会改变结论：您的文件系统/dev/sda2可能已被部分覆盖。

我注意到，实际上mkfs.ntfs没有-Q写零没有稀疏化文件；实际上，它会对整个文件进行去稀疏化。我用远小于 2TB 的文件测试了这一点，但仍然如此。我只能怀疑 mkfs.ntfs -Q类似且从不稀疏文件。

笔记

  • 我的测试平台：Debian GNU/Linux 10。

  • 我的mkfs.ntfs -V印刷品mkntfs v2017.3.23AR.3 (libntfs-3g)。

  • 我安装sparsemap了

    sudo apt-get install python3-pip
sudo pip3 install sparseutils

相关内容