home *** CD-ROM | disk | FTP | other *** search
/ OS/2 Shareware BBS: 6 File / 06-File.zip / dfsee510.zip / dfsntfs.txt < prev    next >
Text File  |  2003-01-14  |  11KB  |  264 lines
  1.   Display File Systems; version 5.08 01-01-2003  (c) 1994-2003; Jan van Wijk
  2.  ----------------------------[ www.dfsee.com ]-------------------------------
  3.  
  4.  
  5. C O N T E N T S:
  6. ================
  7.  
  8.    Command reference    = overview of NTFS specific commands
  9.    Detailed description = description for every command
  10.  
  11.  
  12. C O M M A N D   R E F E R E N C E:
  13. ==================================
  14.  
  15. NTFS specific commands
  16.  
  17. Active filesystem : NTFS, specific commands are:
  18.  
  19.  CA   [lsn][opt] = Check Allocation integrity for (current) MFT lsn
  20.  DELFIND  [name] = Find deleted files, limit to MFT records containing [name]
  21.  FILEFIND [name] = Find normal files,  limit to MFT records containing [name]
  22.  FINDROOT [n][~] = find the Root directory without using the superblock
  23.                    starting the search at LSN [n]; [~] = use 8.3 names
  24.  FIXBOOT         = Recover NTFS bootsector from the spare-copy, if available
  25.  MFT             = Translate and display 'this' LSN as an MFT record nr
  26.  MFT  mft-recnr  = Calculate LSN for MFT record-nr and perform default display
  27.  MIR [mft-recnr] = Calculate LSN for MFT-mirror record-nr, do default display
  28.  MFTEXT          = Find all external MFT records (continuation for base-MFT)
  29.  PATH     [n][~] = Show all path-components for MFT, upto root [use 8.3] name
  30.  
  31.  For an up-to-date list of commands, use the '?' command
  32.  
  33.  NTFS specific sector types  (see ??? command)
  34.  
  35.              'f' = MFT regular File     'z' = MFT deleted File
  36.              'D' = MFT regular Dir      'y' = MFT deleted Dir
  37.              'd' = Directory index
  38.  
  39.              For an up-to-date list, use the '???" command
  40.  
  41.  
  42. D E T A I L E D   D E S C R I P T I O N:
  43. ========================================
  44.  
  45.  CA   [lsn][opt] = Check Allocation for (current) MFT lsn
  46.  
  47.  Purpose:       Check allocation integrity for current MFT
  48.  
  49.  Parameters:    lsn         optional   LSN of the MFT record
  50.                 opt         optional   Options:  v   = Verbose, show progress
  51.  
  52.  Output:        »           Start of one file-extent (fragmented file)
  53.                 ·           One cluster, green small dot is allocation OK
  54.                 ■           One cluster, red big dot is allocation error
  55.  
  56.                 Also a summary is given with the number of (failed) sectors
  57.  
  58.  Remarks:       MFT may be for a regular file (sectors must be ALLOCATED)
  59.                 or for a deleted file (sectors must be FREE)
  60.  
  61.  
  62.  CHECK   [drive] = Check filesystem integrity for drive-letter (CHKDSK)
  63.  
  64.  Purpose:       Perform a filesystem check, and report the found errors
  65.  
  66.  Parameters:    none
  67.  
  68.  Output:        Two lines for each sector in error that is found, the first
  69.                 lists the sector-number, where it is referenced from and a
  70.                 short description. The second line is an error description
  71.                 For FAT the reported arrors are:
  72.  
  73.                 0x00000001  Linked to some structure, but not in allocation-map
  74.                 0x00000002  Allocated in allocation-map, but no known link
  75.                 0x00000004  Some NTFS error detected (to be refined ...)
  76.  
  77.  
  78.  Remarks:       Some of the errors are generic, but most are filesystem
  79.                 specific. The generic ones are also listed with the 'SLT'
  80.                 command in dfscmds.txt.
  81.  
  82.  
  83.  CL              = Translate and display 'this' LSN as a cluster nr
  84.  
  85.  Purpose:       Find out what cluster-nr corresponds to current LSN
  86.  
  87.  Parameters:    none
  88.  
  89.  Output:        The cluster number, or an error message when invalid
  90.  
  91.  
  92.  
  93.  CL clust  [cmd] = Translate specified cluster-nr to LSN, display using 'cmd'
  94.  
  95.  Purpose:       Display data using a cluster-nr instead of an LSN
  96.  
  97.  Parameters:    clust   mandatory  The cluster-nr of interest
  98.  
  99.                 cmd     optional   DFS generic command to execute with clust
  100.                                    as its first and only parameter (like 'H')
  101.  
  102.  Output:        The output for the cmd, when no explicit cmd is specified this
  103.                 will be the DFS default for the corresponding LSN, usually a
  104.                 display of that sector(s) in an appropriate format.
  105.  
  106.  
  107.  DELFIND  [name] = Find deleted files, limit to MFT records containing [name]
  108.  
  109.  Purpose:       Find deleted files, with name starting at current LSN
  110.  
  111.  Parameters:    name        optional   part of filename wanted, not a true
  112.                                        wildcard, but may start and end in
  113.                                        a '*' character
  114.  
  115.  Output:        Find-result list (as "find -type:z") on screen and in memory
  116.  
  117.  Remarks:       All deleted files, or the ones where the MFT record contains the
  118.                 specified UNICODE string, will be found and added to the list.
  119.  
  120.                 The [name] selection aims at the FILENAME part only, to select
  121.                 on part of the full-path for the file, use the wildcard select
  122.                 parameters on the DELSHOW and RECOVER commands
  123.  
  124.                 The [name] is NOT case-sensitive, and there is a slight chance
  125.                 of 'false-hits' when other parts of the MFT contains this string
  126.  
  127.                 List can be manipulated as usual, best viewed with "delshow"
  128.  
  129.  
  130.  
  131.  FILEFIND [name] = Find normal files,  limit to MFT records containing [name]
  132.  
  133.  Purpose:       Find not-deleted files, where the name contains a wildcard,
  134.                 the found files can be copied to another disk using the
  135.                 RECOVER or SAVEAS commands, just as with deleted files.
  136.  
  137.  Parameters:    name        optional   part of filename wanted, not a true
  138.                                        wildcard, but may start and end in
  139.                                        a '*' character
  140.  
  141.  Options:       -c          start from current sector, not start of volume
  142.  
  143.  Output:        Find-result list (as "find -type:f") on screen and in memory
  144.  
  145.  Remarks:       All deleted files, or the ones where the MFT record contains the
  146.                 specified UNICODE string, will be found and added to the list.
  147.  
  148.                 The [name] selection aims at the FILENAME part only, to select
  149.                 on part of the full-path for the file, use the wildcard select
  150.                 parameters on the DELSHOW and RECOVER commands
  151.  
  152.                 The [name] is NOT case-sensitive, and there is a slight chance
  153.                 of 'false-hits' when other parts of the MFT contains this string
  154.  
  155.                 List can be manipulated as usual, best viewed with "delshow" or
  156.                 the equivalent "list +f"
  157.  
  158.  
  159.  
  160.  FINDROOT [n][~] = find the Root directory without using the bootrec info
  161.                    starting the search at LSN [n]; [~] = use 8.3 names
  162.  
  163.  Purpose:       Find the MFT for the ROOT directory, even if parts of
  164.                 the volume, including the boot record, are damaged.
  165.  
  166.  Parameters:    n           optional   Start LSN for the search
  167.  
  168.                 ~           optional   Use the short 8.3 name when available
  169.  
  170.  Output:        Search-list starting at the first MFT record encountered upto
  171.                 the MFT record for the ROOT directory when found.
  172.  
  173.  Remarks:       none
  174.  
  175.  
  176.  FIXBOOT         = Recover NTFS bootsector from the spare-copy (saved by format)
  177.  
  178.  Purpose:       Fix corrupted bootsector for an NTFS partition
  179.  
  180.  Parameters:    none
  181.  
  182.  Output:        Progress and confirmation info
  183.  
  184.  Remarks:       This will locate the copy of the bootsector saved by format,
  185.                 and when found copy it to the bootsector location (sector 0)
  186.  
  187.                 The partition-table info (type and size) must still be valid!
  188.  
  189.  
  190.  MFT             = Translate and display 'this' LSN as an MFT record nr
  191.  
  192.  Purpose:       Calculate and display the MFT-record number from current LSN
  193.  
  194.  Parameters:    none
  195.  
  196.  Output:        The mft-record number, or 0xFFFFFFFF when not in an MFT record
  197.  
  198.  
  199.  MFT [mft-recnr] = Calculate LSN for MFT record-nr and perform a default display
  200.  
  201.  Purpose:       Display a sector, probably an MFT-record, by specifying its
  202.                 MFT number. The logical sector-number is based on the MFT-0
  203.                 pointer in the boot-record an a calculated sectors-per-mft.
  204.  
  205.  Parameters:    mft-recnr          The record number for the MFT record
  206.                                    0 is the first MFT, regarding the MFT itself
  207.  
  208.  Output:        Display of the MFT record contents, or an error message
  209.  
  210.  
  211.  MIR [mft-recnr] = Calculate LSN for MFT-mirror record-nr, do default display
  212.  
  213.  Purpose:       Display a sector by specifying its MFT number as an index
  214.                 in the MFT-mirror area. (effect as 'MFT' command)
  215.  
  216.  Parameters:    mft-recnr          The record number for the MFT record
  217.  
  218.  Output:        Display of the MFT record contents, or an error message
  219.  
  220.  Remarks:       The MFT mirror area only contains a subset (usually 16 records)
  221.                 The main purpose for the MFT mirror is as a backup for the
  222.                 important (system) files like the MFT and root directory.
  223.  
  224.  
  225.  MFTEXT          = Find all external MFT records (continuation for base-MFT)
  226.  
  227.  Purpose:       Quickly find all MFT records that are continuations for others
  228.  
  229.  Parameters:    none
  230.  
  231.  Output:        Standard find-progress, and one line per hit
  232.  
  233.  Remarks:       Continuation MFT records link back to the base-MFT, this link
  234.                 will be recorded in the 'up' shortcut. (command 'u')
  235.                 From the base MFT-record, the first external continuation MFT
  236.                 will be recorded in the 'xtra' shortcut (command 'x')
  237.  
  238.                 Existence of a continuation record is a sure sign for very
  239.                 heavy fragmentation of the file in question.
  240.  
  241.  
  242.  PATH     [n][~] = Show all path-components for MFT, upto root [use 8.3] name
  243.  
  244.  Purpose:       Show the directory-branch that contains current file/dir
  245.  
  246.  Parameters:    n           optional   Start LSN for the search
  247.  
  248.                 ~           optional   Use the short 8.3 name when available
  249.  
  250.  Output:        One line for each found 'parent' directory, upto the root
  251.  
  252.  Remarks:
  253.  
  254.  
  255.  NTFS remarks:
  256.  
  257.  Date and time-information in the NTFS filesystem is stored as a time-offset
  258.  in units of 100ns starting at 1st of January 1601. It is  a 64 bit number.
  259.  The date and time is stored as a Universal Co-ordinated Time (GMT) and
  260.  displayed as such by DFSee. If you want timestamps to correspond to your
  261.  local timezone, you can set the 'TZDFSEE' environment variable to a signed
  262.  number of minutes, being the offset to GMT.
  263.  
  264.