主文件表数据流属性分析？？？

qydwjzk · 发表于 2007-9-29 10:17:35

先看我的三个图

qydwjzk · 发表于 2007-9-29 10:38:51

先看第一个图，淡红色标记的部分，上面可以看出来，（数据流属性，）文件的起始逻vcn为0.结束为07h（h代表16进制）=7d（d代表十进制），由于簇大小为8个扇区（我分的容量大于10G），所以文件$MFT分配大小为：7*8*512=28672d=7000h，这个值与分配大小对不起来，分配大小为8000h，这是为什么？图2和图3也是一样，都多了1000h，不知道这是怎么搞的？
第二个问题，图1，看数据运行的地方，为31 08 00 00 0c 00 01 00
这个地方通过计算也对不起来，而第二个图能对起来。地三个图也对不起来，谁知道这是为什么？

love200052 · 发表于 2007-9-29 16:49:06

第一个问题:看来你还没有理解VCN 和LCN的关系.没有错呀!超始的为0结束为7计8个簇
第二个问题:你的MFT的簇列为:786432  786433  786434 786435 786436 786437
786438  786439
                                 呵呵,还需（38：（38：啊!