Odniesienie zostało usunięte, plik metadanych jest przechowywany w Koszu, aby poznać oryginalną lokalizację.
Na początku w Windows 95 i 98 znajdowało się to w \RECYCLED
. W systemie Windows 2000 i nowszych zmieniono jego nazwę na \RECYCLER
. Od Windows Vista jest to teraz specjalny folder o nazwie \$Recycle.Bin
.
Użyj Monitora procesów, aby zobaczyć wejścia / wyjścia pod maską, załóż filtr Recycle.Bin
i odwiedź go. :)
Na przykład, kiedy to robię:
notepad \$RECYCLE.BIN\S-1-5-21-0192837465-987654321-0123456789-1000\$EXAMPL5
Uwaga: Długa nazwa folderu to SID użytkownika . Nazwa ostatniego folderu to skrót oparty na metadanych.
Otrzymuję plik, który zawiera takie informacje metadanych:
Ö¸ÌC : \ P a t h \ T o \ S o m e \ E x a m p l e . t x t
Powodem, dla którego w ścieżce pliku znajdują się spacje między nimi, jest to, że jest przechowywany w znakach wielobajtowych, w celu obsługi znaków specjalnych dla niektórych języków, a także Unicode i innych elementów. Wcześniejsze symbole są binarne i zawierają informacje takie jak rozmiar pliku i uprawnienia, a także wskaźnik do danych pliku. Zasadniczo zawiera wystarczającą ilość informacji, aby zrekonstruować oryginalne odniesienie ...
To smutne, że książka Windows Internals tego nie obejmuje, w przeciwnym razie miałbym więcej informacji. Nie znalazłem żadnych artykułów na ten temat, ani przez Microsoft, ani przez osoby trzecie. Prawdopodobnie istnieją, ale dla mnie łatwiej było przejść do inżynierii wstecznej głównej koncepcji ...