アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

ハードリンクを作成する

VMware 上の Windows XP SP2 環境に、NTFS ハードリンクのテスト用にサイズ 100M の仮想ハードディスクを追加。NTFS でフォーマットし、以下の二つのファイルを作成。

echo test > a.txt
copy c:\windows\notepad.exe notepad.exe

最初に作成した a.txt はサイズが小さいので MFT レコードに内蔵され、notepad.exe はクラスタが割り当てられ管理されることになります。*1
この状態で、Fsutil : hardlink コマンドを使いハードリンクを作成してみます。

F:\>fsutil hardlink create b.txt a.txt
F:\b.txt <<===>> F:\a.txt のハードリンクが作成されました

F:\>fsutil hardlink create note.exe notepad.exe
F:\note.exe <<===>> F:\notepad.exe のハードリンクが作成されました

F:\test>fsutil hardlink create c.txt f:\a.txt
F:\test\c.txt <<===>> f:\a.txt のハードリンクが作成されました

F:\test>fsutil hardlink create noteB.txt f:\notepad.exe
F:\test\noteB.txt <<===>> f:\notepad.exe のハードリンクが作成されました

これで準備完了ができたので、dd.exe でこのドライブの dd イメージを作成します。

*1:512M以下のドライブなので、1クラスタ=1セクタになります