アンタイ・フォレンジック伝道者の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

ファイルレコードフラグ

で、昨日のお話の中に出ていたフラグですが、この辺りですかね。

Disk Scan for deleted entries
http://www.ntfs.com/disk-scan.htm

もう少し詳細なフラグの情報は、NTFS Documentation の P90 Table 4.22. File record flags とかに記載されていますが、FILE レコードのオフセット 0x16(22)の 2byteがフラグなので、その辺りも参考になる気がします。そこのフラグが割り当て状態だと MFT Allocation Bitmap だけいじっても駄目なのではないかと思われ。
って誰と会話しているんだ?という噂もありますが...