Файл: Руссинович М., Маргозис А. Утилиты Sysinternals. Справочник администратора 2012.pdf

Утилиты системы безопасности 

Глава 8  287 

Использование SDelete

SDelete — это утилита командной строки, которая работает в Windows XP 
и выше и не требует наличия прав администратора. Программа использует 
различный синтаксис для удаления файлов и очистки свободного простран-
ства на диске. Для удаления одного или нескольких файлов или папок ис-
пользуется следующий синтаксис:

sdelete [-p число_проходов] [-a] [-s] [-q] файлы

где файлы

 — имя файла или папки (поддерживаются знаки подстановки). 

Параметр -p указывает количество циклов перезаписи каждого файла (по 
умолчанию задан один проход). Параметр -a необходим для удаления фай-
лов, доступных только для чтения. Параметр -s выполняет рекурсивный об-
ход вложенных папок. Параметр -q («тихий» режим) отключает вывод от-
чета по каждому файлу. Ниже представлено несколько примеров:

REM Securely deletes secret.txt in the current folder 
sdelete secret.txt

REM Securely deletes all *.docx files in the current folder and subfolders 
sdelete -s *.docx

REM Securely deletes the C:\Users\Bob folder hierarchy 
sdelete -s C:\Users\Bob

Для очистки свободного места на диске используется следующий син-

таксис:

sdelete [-p число_проходов] [-z|-c] [d:]

Существует два способа перезаписи свободного пространства: пара-

метр -c перезаписывает его случайными данными, а параметр -z — нулями. 
Параметр -c поддерживает соответствие стандарту Министерства обороны, 
а параметр -z облегчает сжатие и оптимизацию виртуальных жестких дис-
ков. Параметр -p указывает число проходов. Если буква диска не указана, то 
очищается свободное пространство текущего тома. Имейте в виду, что после 
буквы диска должно быть двоеточие.

 Примечание Команда Cipher /W в Windows аналогична параметру -c  программы 

SDelete:  она  заполняет случайными данными  все свободное место жесткого диска 
кроме MFT.

Учтите также, что во время очистки свободного пространства Windows 

может отображать предупреждение о том, что дисковое пространство закан-
чивается. Это предупреждение можно игнорировать (о причине его появле-
ния — в следующем разделе).

SIN_ch_08.indd   287

27.12.2011   14:31:49

288  Часть 

II   

Работа с утилитами

Принцип работы SDelete

Гарантированное удаление файла, не имеющего специальных атрибутов, 
является относительно несложной операцией: программа безопасного уда-
ления просто перезаписывает данные файла. Сложнее гарантированное уда-
ление сжатых, зашифрованных и разреженных файлов, как и очистка дис-
кового пространства.

Сжатые, зашифрованные и разреженные файлы обрабатываются файло-

вой системой NTFS блоками по 16 кластеров. Если программа выполняет 
запись в существующий блок такого файла, NTFS выделяет новое простран-
ство на диске для хранения новых данных, а после их освобождает кластеры, 
которые ранее были заняты файлом. В NTFS столь консервативный подход 
применяется для обеспечения целостности данных, а также (в случае сжа-
тых и разреженных файлов) в ситуациях, когда выделенное место больше 
существующего (например, объем новых сжатых данных больше, чем ста-
рых). Таким образом, перезапись подобного файла не приводит к удалению 
его содержимого с диска.

Для обработки таких файлов SDelete использует API-интерфейс дефраг-

ментации. При этом SDelete точно определяет, какие кластеры на диске за-
няты данными, принадлежащими сжатым, разреженным и зашифрованным 
файлам. Зная, какие кластеры содержат данные файла, программа SDelete 
открывает диск для прямого доступа и перезаписывает эти кластеры.

Очистка свободного пространства — тоже непростая задача. Поскольку 

файловые системы FAT и NTFS не дают приложениям напрямую работать 
со свободным местом, у SDelete есть два варианта действий. Первый заклю-
чается в том, что, как и в случае сжатых, разреженных и зашифрованных 
файлов, программа может открыть диск для прямого доступа и записать 
данные в свободном месте. У этого подхода есть существенный недостаток: 
даже если бы SDelete могла вычислять свободные области на дисках с NTFS 
и FAT (что весьма непросто), возник бы риск конфликта с текущими файло-
выми операциями системы. Допустим, SDelete узнала, что кластер свободен, 
и в этот момент драйвер файловой системы (FAT или NTFS) решил выде-
лить кластер под файл, который изменяет другая программа. Драйвер фай-
ловой системы записывает в кластер новые данные, а SDelete перезаписыва-
ет только что записанные данные... В результате новые данные файла про-
падут. Еще хуже, если этот кластер будет выделен для метаданных файловой 
системы: в этом случае SDelete повредит структуру файловой системы.

Второй подход, который и применяет SDelete, заключается в опосредо-

ванной перезаписи свободного пространства. Сначала SDelete выделяет 
файл максимально возможного размера с помощью некешируемой опера-
ции файлового ввода-вывода, так что полезное содержимое кеша NTFS при 
этом не пропадает. Поскольку при такой операции размер выделяемого фай-
ла округляется по границам сектора (т.е. до 512 байтов), может остаться ме-
сто, не занятое SDelete, при этом SDelete не сможет увеличить размер своего 

SIN_ch_08.indd   288

27.12.2011   14:31:49

Утилиты системы безопасности 

Глава 8  289 

файла. Чтобы заполнить оставшееся место, SDelete выделяет (с помощью 
кешируемой операции) файл максимально возможного размера и переза-
писывает содержимое обоих файлов, гарантируя очистку места на диске, до 
того бывшего свободным.

В случае NTFS-дисков SDelete не всегда ограничивается выделением и 

перезаписью двух файлов, поскольку программа должна очистить все сво-
бодные разделы MFT файлами, помещающимися в записи MFT. Типичный 
размер записи MFT — 1 Кб, и каждому файлу или каталогу на диске требу-
ется не менее одной записи MFT. Небольшие файлы хранятся внутри своих 
записей, в то время как файлы, не помещающиеся в отведенное под запись 
MFT место, распределяются по кластерам за пределами MFT. Все что нуж-
но сделать SDelete со свободным пространством MFT — это записать в нем 
файл максимально возможного размера. Когда этот файл займет все доступ-
ное пространство в записи MFT, NTFS воспрепятствует его дальнейшему ро-
сту, поскольку на диске не останется свободных кластеров (они уже заняты 
двумя файлами, ранее созданными SDelete). После этого SDelete повторяет 
процесс. Когда создать новый файл будет невозможно, SDelete определяет, 
что все свободное место MFT гарантированно очищено путем перезаписи.

Чтобы перезаписать имя удаленного файла, SDelete переименовывает 

файл 26 раз подряд, каждый раз заменяя все символы имени файла очеред-
ной буквой алфавита. Например, после первого переименования имя файла 
sample.txt будет выглядеть так: AAAAAA.AAA.

SDelete не очищает имена файлов во время очистки свободного места, 

потому что для этого нужен прямой доступ к структуре каталогов. В струк-
туре каталогов может быть свободное место, содержащее имена удаленных 
файлов, но в нем нельзя выделять место для файлов. Поэтому SDelete не 
удастся просто создать в нем файл и перезаписать его.

SIN_ch_08.indd   289

27.12.2011   14:31:49

Глава 9

Утилиты для работы с Active Directory

Компанией Sysinternals созданы три утилиты, упрощающие работу со служ-
бой каталогов Active Directory, а также диагностику и устранение ее непо-
ладок:
•  Ad Explorer — усовершенствованная программа для просмотра и редак-

тирования объектов Active Directory;

•  AdInsight — программа для мониторинга вызовов API-интерфейсов про-

токола LDAP в реальном времени;

•  Ad Restore — средство для  перечисления и восстановления  случайно 

удаленных объектов Active Directory.

AD Explorer

Active Directory Explorer (AdExplorer) — это низкоуровневая программа 
для просмотра и редактирования объектов Active Directory. По своим воз-
можностям AdExplorer почти не уступает программе ADSI Edit из Windows, 
но, благодаря многофункциональности и простоте использования. Можно 
использовать AdExplorer для просмотра базы данных Active Directory и 
атрибутов объектов, не открывая при этом диалоговые окна. Программа 
также позволяет редактировать свойства, атрибуты и разрешения объектов, 
а также напрямую переходить от объекта к его схеме, определять избранные 
расположения, выполнять сложный поиск и сохранять его результаты для 
последующего использования, делать снимки базы данных Active Directory 
для просмотра и сравнения в автономном режиме (без подключения к базе 
данных). Кроме того, AdExplorer автоматически открывает все доступные 
контексты именования Active Directory, так что вам не придется подклю-
чаться по отдельности к конфигурации, схеме и т. д.

Подключение к домену

AdExplorer может отображать в виде дерева сразу несколько доменов и со-
храненных ранее снимков. С помощью диалогового окна Connect To Active 
Directory  (Подключение к  Active Directory), изображенного на рис. 9-1, 
можно подключиться к серверу каталогов или открыть сохраненный сни-

SIN_ch_09.indd   290

27.12.2011   14:32:57

Утилиты для работы  с Active Directory 

Глава 9  291 

мок. Это окно открывается кнопкой Open  на панели инструментов либо 
одноименной командой меню File. AdExplorer открывает данное окно и при 
запуске, если прежние подключения не сохранены, а в командную строку не 
добавлен параметр -noconnectprompt.

Рис. 9-1.  Окно Connect To Active Directory в AdExplorer

К службам каталогов, с которыми работает AdExplorer, относятся Active 

Directory, Active Directory Lightweight Directory Services (LDS), и Active 
Directory Application Mode (ADAM). Для подключения к серверу каталогов 
введите его доменное имя Active Directory, имя либо IP-адрес, имя пользо-
вателя и пароль авторизованной учетной записи. Можно подключаться к 
домену Active Directory по умолчанию, используя данные учетной записи, 
под которой вы работаете, установив переключатель в первую позицию и 
оставив текстовые поля пустыми.

Чтобы открыть ранее сохраненный снимок, выберите переключатель в 

окне во вторую позицию и найдите файл снимка. Имейте в виду, что снимки 
доступны только для чтения, запрещено также удаление и редактирование 
объектов, их атрибутов и разрешений. Более подробно о снимках будет рас-
сказано в следующем разделе.

Флажок  Save This Connection (Сохранить подключение) сохраняет 

информацию о подключении или снимок, поэтому при следующем запуске 
AdExplorer он снова подключается к тому же домену или снимку. Имейте 
в виду, что AdExplorer не сохраняет ваш пароль вместе с подключением к 
домену по соображениям безопасности, так что вам придется вводить его за-
ново при каждом подключении. Для удаления ранее сохраненного подклю-
чения выделите нужное подключение в дереве и выберите пункт Remove 
(Удалить) в меню File или в контекстном меню.

Для удаления каталога из окна AdExplorer щелкните правой кнопкой его 

корневой узел и выберите команду Remove в контекстном меню. Можно так-
же удалить подключение, выделив любой объект в дереве и выбрав Remove 
в меню File.

SIN_ch_09.indd   291

27.12.2011   14:32:58