「Folderと$BITMAP (0xB0)」の続きです。 Windowsフォルダの $BITMAP (0xB0) は下記の状態です。VCN 0 から VCN 5 までが利用されている事を確認できます。 3F 00 00 00 00 00 00 00↓ 0 0 1 1 1 1 1 1 ⇒ Bitmap ⇒ クラスタの利用状況 LCNとVCNの関係は下記と…

フォルダの$BITMAP属性について確認します。 まず、「Windows」フォルダのMFTレコード番号（FILEレコード番号）を確認します。 $MFT内でオフセット1375232に移動し、$Bitmap属性を探します。 $INDEX_ROOT (0x90)があります。$I30という名前が設定されていま…

Windows 10 1709 環境の Thumbnail Index ファイルを確認します。残念ながら、不完全なパース結果となっています。 サンプルファイル thumbcache_idx.db を参照します。ファイルフォーマットについては、「Windows Explorer Thumbnail Cache database format…

Windows 10 ver 1709 環境上における、ThumbnailCacheId とサムネイルキャッシュの関係を確認します。 キャッシュされているサムネイルデータをThumbcache Viewer を使い確認します。 thumbcache_768.db内には2件の画像がキャッシュされています。 C:\Users\…

Windows 10 1709 環境の Thumbnail Cache ファイルをテストします。サンプルの JPEG画像をPreview Paneで表示します。 ユーザーのプロファイルフォルダ配下に、thumbcacheファイルが作成されている事を確認します。 C:\Users\forensics\AppData\Local\Micros…