zhaoliangcn 发表于 2009-3-7 09:02:28

数据运行的解析问题

谁能帮忙解析一下这个我d盘根目录元数据文件中a0h类型属性中的这段数据运行:
31 01 B9 88 13 31 01 A5 74 FF 31 01 D6 F9 C7 0C
03 89 F3 0B 31 01 DC 3A 01 21 01 27 07 31 01 54
E3 F2 31 01 3E C5 07 31 01 8A 22 0A 21 01 F6 FE
21 01 1E 03 21 01 0A 01 00 1D 5A E1 08 D0 71 81

run1 :31 01 B9 88 13
run2 :31 01 A5 74 FF
run3 :31 01 D6 F9 C7

????run4 :0C ????
运行4这里该怎么解释呢?
就算该a0H类型属性的数据运行是稀疏的,但是0C这个无法解释,“运行大小为0簇,运行起始簇号占C个字节”这样显然不可能。
运行这里我理解的比较浅显,谁能帮忙解释一下?

ijcl 发表于 2009-3-9 10:22:36

运行4显然是不合法的,其实第3个运行也不对,你算算就知道了
假设簇大小是8扇区的话
计算结果是
10241480—— 10241487
9956080—— 9956087
-19416672——-19416665
显然,运行3也是错误的.

二月三日 发表于 2009-3-9 14:58:16

不明白,在找什么呢,如果是数据,八十属性啊

zhaoliangcn 发表于 2009-3-11 22:28:43

回复 2# 的帖子

用winhex可以提取出簇列表,但实在不知道winhex怎么得来的后面的运行。按照80H属性的解析,第一个,第二个运行计算的结果都是对的,第三个运行的结果按照原来的计算方法就无法得出。

zhaoliangcn 发表于 2009-3-11 22:31:56

回复 3# 的帖子

我在开发一款数据恢复软件,现在FAT/FAT32/NTFS下都能够正常稳定的恢复,A0H属性是索引分配,通过解析A0H类型属性可以加速扫描过程。

zhaoliangcn 发表于 2009-3-11 22:34:00

多谢回帖,希望大家积极参与讨论。

tclrz100e 发表于 2009-3-12 00:16:23

这个数据运行是有点怪,不知LZ是否能上传这个MFT的镜像文件(2个扇区)来分析一下。

dnfreeuser 发表于 2009-3-12 08:37:14

tclrz100e 发表于 2009-3-12 08:42:53

原帖由 dnfreeuser 于 2009-3-12 08:37 发表 http://bbs.intohard.com/images/common/back.gif
每个扇区的最后两字节要自己恢复的。以前就是这个问题困扰了我好久,就是没人说......

31 01 B9 88 13 31 01 A5 74 FF 31 01 D6 F9 C7 0C
C7 0C这两个明显不对

我知道你要问的问题,但你不上传这个MFT的镜像,别人怎么给你问满意的答案?

zhaoliangcn 发表于 2009-3-12 21:03:06

回复 9# 的帖子

该MFT就是D盘根目录元数据文件,现在需要获得的是A0H类型属性的Data runs。
页: [1] 2 3
查看完整版本: 数据运行的解析问题