アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

MFT Zone

fsutil fsinfo ntfsinfo c: の結果に表示される、MFT Zone の読み方がわからなかったのでフリースペースのある Disk などで確認(笑)

Mft Valid Data Length :           0x000000000b154000
Mft Start Lcn  :                  0x00000000000c0000
Mft2 Start Lcn :                  0x0000000000995c65
Mft Zone Start :                  0x0000000000eda9c0
Mft Zone End   :                  0x0000000000edc340

で、結果としてはクラスタ番号(16進数)を示しているんですね。
フラグメントされていなければ、Mft Start Lcn のクラスタから Mft Zone End のクラスタまでを取得すれば MFT ゲット!になるのかしら?*1っていうか、Mft Valid Data Length 分を取得すればいいのかorz
時間があるときに NTFS file system を読んでみよっと。

*1:このDiskではMFTがフラグメントされているのでダメですけどね・・・