アンタイ・フォレンジック伝道者の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

地雷2の原因判明

やっと原因と思われる仕様?なのか動きがわかった気がします。FAT の場合に発生するようですが、簡単にメモっておくと、File Finder で JPG を選択した場合、FAT の削除ファイルについて、1クラスタ分(例えば4セクタ)を削除ファイルのデータ領域と判断。残りは Unallocated 領域と判断し、先頭パターン FF D8 FF を1クラスタ分の先頭で検出しても、1クラスタしかないと考えているので、1クラスタの終端(4セクタ目)までしか FF D9 を探してない気がします。逆に Unallocated を検索するときには、次のクラスタである5セクタ目から FF D8 FF を探すので、先頭の FF D8 FF が存在せず一致しないことになります。
ただし、この動きは NTFS 上の削除ファイルについては異なり、1クラスタ目の終端以降も検索するようで FF D9 までがヒットします。1クラスタ以降の領域が Unallocated と判断されるのは同じです。
なんとなく FAT の動作が変で NTFS のほうが正しい動作ではないかという気がしてますが。。。