dimitriy7
BANNED | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Для этого много не надо: зайти проводником/тотал-коммандером/и-т-п на ntfs-раздел, создать файл с уникальным именем и выйти с раздела. И тут же любым способом сохранить на другой раздел $MFT с подопытного (тот же winhex в режиме прямого доступа умеет, только сначала разберитесь как это делать), плюс сбросьте полный дамп ОЗУ. И затем поищите в MFT и дампе запись о вашем новом файле. Так вот: 100% в памяти обнаружится MFT подопытного раздела, плюс скорее всего запись о новом файле окажется только в памяти, но не в файле MFT...
Мне просто сейчас не до того, но на неделе сам поэкспериментирую, проверю |
