Данные атрибута можно смотреть в любой момент.
Конечно же на двух - а как по другому можно сравнить?
Если же есть боязнь ещё какой то напасти, то тогда в первую очередь сделать MBRoff на проблемном диске, а потом всё остальное.
Кстати, судя по практике, указанный атрибут не меняется тем же чекдиском при каких либо исправлениях, в том числе и в случае если даже там какое то 00-вое значение. И это иногда помогает в понимании тех или иных моментов при расследовании ситуации. Например, понятно когда была сформирована MFT. В том числе поэтому, когда делаю патчи для MFT в "импланты" записей стараюсь вносить оригинальный временной штамп из выживших записей.
Цитата
а про вин7 это я на всякий случай упамянул(вдруг она лучше подходит для моей задачи)
Это хорошо, потому как к этому вопросу мы вернёмся чуть позже.
А в плане восстановления у 7-ки - точнее её чекдиска есть главный плюс - он не делает исправлений сам по себе.
Добавлено через 2 минуты
Smirnoff
А вот перезагружать систему как раз таки можно, потому как при ней происходит полноценное завершение работы системы (и последующий запуск).
Что касается опасности быстрого запуска, то я бы сказал что его вредное действие усиливается ранее упомянутым онлайновым чекдиском.