アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

WinMsdのディスクサイズ表示

Winmsd(msinfo32.exe)で[ディスク]の情報を参照すると、ハードディスクのサイズを確認できますが、ここで表示されるサイズと、volume_dump や dd.exe で取得したサイズが異なる場合があります。何故か?というのを以前 Garner 氏に教えていただいたのですが、Winmsd では「シリンダ数 x ヘッダ数 x セクタ数 x セクタサイズ」の公式*1を利用してサイズを計算しています。
これに対して、volume_dump や dd は HDD の実際のサイズを表示します。
ところが、BIOS によっては?*2 Winmsd の出力が正しい場合もあることを本日のセミナー中に発見(ぇ?*3
いずれにせよ、winmsd のディスクサイズを信じるよりは dd か volume_dump で確認しましょう!ということに変わりはないのですが・・・

*1:いわゆるCHS

*2:BIOSによるのか、搭載しているHDDによるのかハードに弱い私にはよくわかってなかったりします

*3:資料を作ったPCと確認したPCでは一致しなくて、デモしたPCではサイズが一致していた罠