C:\ $ Directoryとは何ですか?


11

プロセスモニターを実行すると、にReadFile送信されC:\$Directoryた要求が表示されます。

これはどういう意味ですか?


更新:

私も$MapAttributeValue見慣れていません。


$隠されたまたは管理/システムフォルダ/ファイルを表します。$recycle.binフォルダーのように見えます。
αғsнιη

回答:


5

更新:私はこの問題をさらに調査しました(自分のコンピューターで同じ動作に気づき、これが一種のマルウェアであることが心配されたため)、現在、私の元の答えは実際には正しくないと信じています。これが私が今見つけたものです:

  1. このファイルと異なるオフセットからいくつかの異なるプロセスが読み取られますが、長さは同じです:4K(正確に1つのメモリページ)。
  2. ReadFile操作がありますが、ファイルを開くことができないため、ほとんど意味がありません。
  3. スタックトレースを見ると、すべてのリクエストにトレースのページフォールトが含まれていることがわかります。たとえば、このファイルの読み取りはIoPageRead()、ページングファイルからメモリにページを読み取るカーネル関数の内部にあります。
  4. これらの読み取りは、私のシステムのC:\ $ DirectoryとV:\ $ Directory、ページングファイルを保持する2つのドライブで行われ、それ以外の場所では行われません。

この調査に基づいて、この「ファイルの読み取り」はある種のプロセスモニターのアーティファクトであり、実際の読み取りはページングファイルで行われると強く信じています。ProcMonがパスをC:\ $ Directoryと表示する理由はわかりません。

このC:\ $ Directoryが実際のNTFSメタファイルであるとは思いません。これが違法行為(ウイルスまたはその他のマルウェア)である可能性があるとは、私は思いません。


2
#3でも#2でもないと私は確信しています。したがって、おそらく1位です。しかし、それは本当に私に何も教えません...
user541686

通常、これはexplorer.exeに割り当てられます。だから、私も推測します、それは#2や#3ではありません。
Diskilla

すみません、答えを完全に変えました。
haimg

バウンティを追加しました。公式/非公式のドキュメントやその他の調査結果があれば、すばらしいでしょう。これをグーグルで検索するのはかなり難しいことです。
Stefano Borini、2015

4

$ Directoryと$ MapAttributeValueは、おそらくNTFSディスク上のシステム領域のコード名であり、これらの参照は、ファイルを開いたり作成したりするプログラムからのものです。

これらの名前はおそらく、Wikipediaで次のように定義されているメタファイルに関連しています。

NTFSには、ファイルシステムを定義および編成するいくつかのファイルが含まれています。すべての点で、これらのファイルのほとんどは他のユーザーファイルと同様に構造化されていますが($ Volumeが最も独特です)、ファイルシステムクライアントには直接関係ありません。これらのメタファイルは、ファイルの定義、重要なファイルシステムデータのバックアップ、ファイルシステムの変更のバッファリング、空き領域割り当ての管理、BIOSの期待を満たす、不良アロケーションユニットの追跡、セキュリティとディスク領域の使用状況情報の保存を行います。特に明記されていない限り、すべてのコンテンツは名前のないデータストリームにあります。

$ Directoryは、すべてのファイルとフォルダーのディレクトリであるマスターファイルテーブル(MFT)である可能性が高く、メタデータとしてファイル名、作成日、アクセス許可(アクセス制御リストを使用)、およびサイズが格納されます。ファイルまたはフォルダを開いたり作成したりするプログラムは、ディスクのこの領域にアクセスします。

$ MapAttributeValueは、おそらく次のように記述される属性リスト領域です。

MFTレコードに記述されているファイル(またはディレクトリ)ごとに、ストリーム記述子(属性とも呼ばれます)の線形リポジトリがあり、1つまたは複数のMFTレコード(いわゆる属性リストを含む)にまとめられます。すべてのMFTレコードのサイズは1 KBで、そのファイルに関連付けられている有効なストリームを完全に説明しています。


わかりません、あなたは$Directory同じ$MFTですか?また、属性リストは個々のファイルレコードに属し、個々のレコード内に保存されます。それらはディスクのルートに格納されているグローバルファイルではありません...
user541686

。大丈夫、私は私の最初のコメントはまだ立っているが、(私はまだあなたが「すべてのファイルとフォルダのためのディレクトリですMFT」のようなフレーズで何を意味するのか理解していない、あまりにも地雷を削除
user541686

1
@Mehrdad:私はすべてのファイルとフォルダーがその中で定義されていると言っていたので、プログラムがファイルを開いたり作成したりすると、オペレーティングシステムがアクセスする必要があります。
harrymc

1
私はまだあなたのコメントを理解することができません。すべてのファイルとフォルダが定義されている唯一のファイルは\$MFTです。というディスク上にメタファイルやその他の場所はありません\$Directory。私はあなたが何を話しているのか理解できません。
user541686 2015

1
C:\$MFTしかし、私はそこに何度もリストされているのを見ました。どちらも同じことを言っているのですか?彼らがなぜそうするのかわかりません...
user541686
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.