アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

$Bitmapファイル

Bitmapファイルの仕組み自体はNTFSでも利用されているものになるかと思いますが、Bitmapファイル自体はこんな内容になっています。それぞれのビットがクラスタの割り当て状況を示していることになります。

FF FF FF FF FF FF FF FF FF FF FF FF 07 00 00 00 00 00 00 00 00 00 ....

ファイルが削除されると、クラスタの割り当て状況がクリアされて該当ビットが 0 になるはずなので、とりあえず現在の状況をホワイトボードにメモっておいて最後のクラスタ位置を使っているファイルを削除して、想定していたビットが 0 になっているかなどを試すという地道な検証をしていました。