exFATの構造表示

バイナリエディで見るとわかりにくいファイルシステム上の配置状況なども、EFのDISKビューで表示することで色分けされるので、なんとなくわかった気分になるのが不思議ですかね（笑）
USBメモリの先頭セクタ（PS 0）パーティションテーブルを確認すると、まずパーティションタイプが 0x07 となっており NTFS と同じパーティションタイプが使われていることがわかります。ついでにボリュームの開始セクタ位置（VBR）はPS 63から開始されているので見てみると、ジャンプコード 3バイトに続いて「EXFAT 」の文字列が続きます。この辺りは前回も見た記憶があるのですが、VBR 自体はPS 75にもバックアップもあるようで興味深いですね。

FATテーブルは一個だけになっており、その後ろからクラスタ2の割り当てがあり最初のファイルは $Bitmap ファイルとなっています。exFATからはファイルのアロケーション状況を Bitmap と FAT テーブルの両方で管理するようになったということを、前回のデジタルフォレンジック研究会の技術分科会（第６期 第２回）で上原先生が言われていたのを思い出し少し詳しく見てることに。