빠른 포맷 후의 NTFS 메타데이터: WinHex 분석

각 4,096바이트 클러스터에는 1,024바이트 슬롯이 4개 들어갑니다. 이것이 두 경계를 모두 설명해 줍니다:

1. 51,232 × 4 = 204,928 슬롯
2. 204,928 + (10,915 × 4) = 248,588
3. 9,274,281 − 416,173 = 8,858,108

이 실행 결과들을 합치면 총 94,098개의 클러스터, 즉 385,425,408바이트를 차지합니다. 최종 VCN 값은 94,097입니다.

후보자 기록 찾기 및 검증

복원 기록에는 기록 번호 204,928을 검색한 과정, 한 후보를 유효하지 않은 것으로 배제하고, 다른 후보를 유효한 것으로 인정하여 찾아낸 과정이 기술되어 있습니다. 일치하는 번호 또는 파일 서명만으로는 충분하지 않습니다.

읽기 전용 이미지에서:

1. 검색 파일 현재 MFT 외부의 위치를 포함한 시그니처. 새 테이블로만 범위를 제한한 스캔은 분리된 레코드를 놓치게 됩니다.
2. 레코드 경계, 레코드 길이, 속성 오프셋 및 속성 길이를 확인하십시오.
3. 보호된 레코드 바이트를 해석하기 전에 업데이트 시퀀스 배열의 유효성을 확인하십시오. 기록된 1,024바이트 레코드에서, 이 검사는 두 개의 512바이트 스트라이드 끝부분을 모두 포함합니다.
4. 해당 경계를 가로질러 속성을 구문 분석하기 전에, 파서 메모리에 저장된 트레일러 단어를 복원하십시오. 증거 이미지는 수정하지 마십시오.
5. 인접한 레코드를 비교하고, 있는 경우 레코드 번호, 이름, 상위 레코드 참조 및 순서 번호를 확인하십시오. 타당하지 않거나 오래된 관계는 제외하십시오.

존재하는 오래된 레코드 0이 유효한 런리스트를 제공하는 경우, 해당 매핑을 사용한다. 만약 레코드가 누락된 경우, 레코드 시퀀스를 통해 익스텐트를 재구성하는 것은 추가 검증이 필요한 가설에 불과하다. 특정 영역에 빈 레코드가 있다고 해서 그 이후에 오는 조각이 존재하지 않는다는 것을 단독으로 증명할 수는 없다.

논리 테이블을 별도로 재조립하십시오

검증된 익스텐트를 VCN 순서대로 별도의 분석 파일에 복사하십시오. LCN이 증가하는 순서대로 정렬하지 마십시오. 위에서 언급한 세 번째 실행은 디스크 상에서는 두 번째 실행보다 앞서 있지만, 논리적으로는 그 뒤를 잇습니다.

기록 번호 n, 레코드 크기 R, 그리고 클러스터 크기 C:

1. VCN = floor(n × R ÷ C)
2. 클러스터 내 오프셋 = (n × R) mod C
3. LCN = 해당 실행의 시작 LCN + (VCN − 해당 실행의 시작 VCN)

3회 실행 예제의 레코드 204,929의 경우, VCN은 51,232이며 클러스터 내 오프셋은 1,024바이트입니다. 따라서 이 레코드의 볼륨 상대 주소는 다음과 같습니다:

1. 9,274,281 × 4,096 + 1,024 = 37,987,456,000 바이트

이 매핑은 파일이 아닌 주소를 복원합니다. 해당 레코드와 그 레코드가 참조하는 데이터는 여전히 유효성 검증이 필요합니다.