[Tau_0]

книжку скачал, почитаю на досуге. »

Поехали дальше....
Для того, чтобы подступиться к NTFS мы начачали с метафайла $Boot. Это единственный файл с жёстко заданный местоположением, --- остальные файлы могут быть где угодно…

На записи MFT мы тоже вышли ---- они начинаются с LBA = 6293504. И первые 25 записей (50 секторов) Вы мне прислали.

Я просматриваю эти записи в дисковом редакторе WiinHeх. И вижу примерно такое
http://rghost.ru/54407062/image.png

В шестнадцатеричном виде смотреть не всегда удовно, поэтому применяем шаблон
VIEW ===> Template menager ===> NTFS File Record
http://rghost.ru/54407129/image.png

Порой такой просмотр в определённом смысле более информативен

Навскидку я ничего плохого в записях не усмотрел, это совсем не означает, что ничего плохого нет.

У Вас хард под рукой и смотреть Вам записи не пересмотреть, а записей в MFT немеряно…