NTFS 格式 (mkfs) -- 磁盘的哪些区域会被覆盖？

Question

我不小心在2Tb 外置硬盘上运行mkfs.ntfs -Q /dev/sda（而不是/dev/sda6）。幸运的是，开头有一个 1G 未使用的分区，结尾也有足够的空间：

Device     Boot      Start        End    Sectors  Size Id Type
/dev/sda1             2048    2099199    2097152    1G  b W95 FAT32
/dev/sda2  *       2099200 3739256831 3737157632  1.8T  7 HPFS/NTFS/exFAT
/dev/sda4       3739256832 3907029166  167772335   80G  5 Extended
/dev/sda5       3739258880 3751841791   12582912    6G 83 Linux
/dev/sda6       3751843840 3907029166  155185327   74G  7 HPFS/NTFS/exFAT

是否/dev/sda2安全？或者 mkfs.ntfs 在目标空间的中间写入元数据，在这种情况下，我猜任何文件都可能在没有警告的情况下损坏？

Answer 1

是否/dev/sda2安全？

一般来说：没有。继续阅读以了解我为什么这么认为。

示例程序

我的 2TB 硬盘大小为 2000398934016 字节。目标是调查mkfs.ntfs -Q会对这种尺寸的设备产生什么影响。

我创建了一个精确大小的稀疏文件：

$ # the filesystem must support sparse files
$ truncate -s 2000398934016 fakesda

ls -ls 确认整个文件是稀疏的：

$ ls -ls fakesda
0 -rw-r--r-- 1 kamil kamil 2000398934016 Oct 31 18:48 fakesda

（第一个0告诉了这一点）。但是sparsemap（稍后会很有用）还可以：

$ sparsemap fakesda
HOLE 2000398934016

我可以做mkfs.ntfs -FQ fakesda，但随后mkfs.ntfs会假设扇区大小为 512 字节。在本例中，假设我的磁盘使用 4096 字节作为其逻辑扇区大小。在这种情况下，我想我可以使用（参见）的--sector-size选项。但是为了确定唯一会对我的磁盘做什么，我决定从以下位置创建一个循环设备：mkfs.ntfsman 8 mkfs.ntfsmkfs.ntfs -Qfakesda

$ sudo losetup -f --show --sector-size 4096 fakesda
/dev/loop0

sparsemap告诉我fakesda还是完全稀疏。我mkfs.ntfs -Q在循环设备上运行：

$ sudo mkfs.ntfs -Q /dev/loop0

我销毁了循环设备，sync以防万一：

$ sudo losetup -d /dev/loop0
$ sync

现在文件有多稀疏？

$ sparsemap fakesda
DATA 12288
HOLE 4096
DATA 110592
HOLE 250049753088
DATA 61460480
HOLE 750088122368
DATA 67125248
HOLE 1000132341760
DATA 4096

请参阅sparsemap -h以了解如何解释此

该文件被解释为数据和空洞的序列，例如，给定一个文件，其中包含 8192 字节的数据，后跟 4096 字节的空洞，后跟 8192 字节的数据，sparsemap 的输出将是：

DATA 8192
HOLE 4096
DATA 8192

在我的结果中，每一DATA行表示一个受mkfs.ntfs. 我可以看到mkfs.ntfs 确实在目标空间的中间写了一些东西。

最后我用rm fakesda.

您的具体情况

您可以使用您使用的磁盘的确切大小（和扇区大小）进行自己的测试mkfs.ntfs。通过这种方式，您可能能够准确地识别受影响的碎片并判断它们属于哪些分区（哪些旧文件系统）。将片段映射到旧文件系统中的特定文件或元数据可能并不容易，这是一个不同的问题。

您发布的分区表告诉我，在您的情况下，扇区大小为 512 字节。我认为您可以使用mkfs.ntfs -FQ fakesda而不玩losetup. 我的例子特意使用了不同的扇区大小，这样答案更笼统。

怀疑

如果mkfs.ntfs -Q将零写入它操作的文件的某些部分，并且如果它足够聪明以通过稀疏文件来实现这一点，那么我的程序将不会检测到这一点。坦率地说，我不知道该工具是否可以。如果是这样，那么您需要的不仅仅是我的程序来找到所有受影响的片段。

程序的这种不完善不会改变结论：您的文件系统/dev/sda2可能已被部分覆盖。

我注意到mkfs.ntfs没有-Q在没有稀疏文件的情况下实际写入零；事实上，它对整个文件进行了解析。我用小于 2TB 的文件对此进行了测试，但仍然如此。我只能怀疑 mkfs.ntfs -Q是相似的，并且永远不会稀疏文件。

笔记

• 我的测试平台：Debian GNU/Linux 10。

• 我的mkfs.ntfs -V印刷品mkntfs v2017.3.23AR.3 (libntfs-3g)。

• 我安装sparsemap了

  sudo apt-get install python3-pip
  sudo pip3 install sparseutils