数据恢复原理_NTFS中有多个运行的簇号计算

男孩 · 发表于 2017-4-27 08:55:52

NTFS中有多个运行的簇号计算
a）首先看到它有两个运行：第一个是 31 01 A4 91 01 ；
b）第二个运行是: 31 01 AF 15 29

那么怎么计算它的LCN呢？
首先分析第一个运行：31中的“3”表示后面的4个字节中的后面3个字节是运行的起始簇号；就是A4 91 01 这是小头排序的。所以换算成十进制就是 102820
31中的“1”表示后面的4个字节中的前面1个字节是这个运行的大小01 就是说占用1个簇。则结束LCN就是102820+1-1=102820
c）好的，我们到此已经分析出第一个运行的起始LCN是 102820号簇，只占用1个簇；
下面我们分析一下第二个运行，第二个运行是 31 01 AF 15 29 根据分析第一个运行的方法，不难分析出后三位的 AF 15 29 表示这个运行的起始LCN，但是这里并不是直接就用 AF 15 29表示的。呵呵。而是用与前一个运行的相对值来表示的，也就是说第二个运行的起始LCN是2915AFH+0191A4H=2AA753H也就是2795347号簇。

好的，我们已经分析出了具有两个运行的情况，对具有有多个运行的情况就能类似分析了。第三个运行就是相对第二个运行的，第四个运行就是相对第三个运行的。以此类推。

_NTFS中有多个运行的簇号计算.rar (29.52 KB, 下载次数: 20)