SANS ポスター：Windows Artifact Analysis(26) Jump Lists

Windows 7 の Jump Lists ファイルである、 89b0d939f117f75c.automaticDestinations-ms ファイル構造の続きになります。
オフセット 1024 からの1セクタ分は[MS-CFB]のPage 23 に記載がある Compound File Directory Entry になります。ディレクトリエントリの各サイズは 128byte の固定長です。
オフセット 1024 から 128byte を抜粋したものが下記データになります。ディレクトリエントリの1レコード分という事になります。

52 00 6F 00 6F 00 74 00 20 00 45 00 6E 00 74 00
72 00 79 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
16 00 05 00 FF FF FF FF FF FF FF FF 03 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 60 0E 85 2C
E4 50 CF 01 03 00 00 00 C0 10 00 00 00 00 00 00

まず最初に Directory Entry Name (64 bytes)が出てきます。UTF-16LEで文字列が保存されており、NULLでターミネートになります。テキストの文字列としては R·o·o·t· ·E·n·t·r·y という事になります。

52 00 6F 00 6F 00 74 00 20 00 45 00 6E 00 74 00
72 00 79 00 00 00

オフセット 64 からの 2バイトは Directory Entry Name Length ですので、今回のケースでは 16 00 ですので 10進数で 22byte となり、先ほどのNameのバイト数と一致してきます。
次のオフセット66からの1バイトは Object Type ですが、0x05 ですのでPage 25では Root Storage Object と定義されている事が確認できます。

Compound File Directory Entry で注目する項目としてはオフセット100から存在する下記の項目でしょうか。