文字列の誤検知（抽出）

Autopsy で KEYWORD SEARCH を実行すると検索結果は output/イメージ名-番号.srch というファイルに保存されます。昨日のtest.txtを含めたイメージファイルに対して『ASCII』を検索した結果は以下のように保存されています。（Unicode をチェックして実行）

1||ASCII|unicode
9750|20|ASCII

文字列「ASCII」が存在していることになっていますが、この結果は、sstrings コマンドを使い直接 test.txt から文字列を抽出した場合と異なっています。（sstrings -e l test.txt では、“ASCI”となり最後の I が抜ける）
これは Autopsy でセクタを見ればわかりますが、Slack space の文字列を含めて I（0x49 0x00) が認識されてしまっているんですよね。

0	41534349 49fffe41 00530043 00490049 	ASCI I..A .S.C .I.I 
16	00feff00 41005300 43004900 49000000 	.... A.S. C.I. I... 

この現象が、id:hideakii:20040826 のネタです。確かに『ASCII』という文字列がイメージ上には存在してますが、誤検知しているわけです。*1

*1:こいうケースをラッキーと考えるべきなのかは微妙だったりしますねぇ