在1K大小的MFT文件记录中，30-38位表示什么

verdly · 发表于 2010-9-6 11:24:46

在1K大小的MFT文件记录中，30-38位表示什么，有什么具体的含义？
刚刚遇到一个问题，在一个140G的硬盘中，有时候那几位表示了第二次的数据运行蔟的实际数据，即第一的运行蔟加上这个其中的32-33位才是正确的第二次运行蔟的逻辑号。
不明白问什么，求助高手。
未命名.jpg

如图，其中BF 01 41 11 47 11 00 00 分别是什么意思？

本因坊.秀策 · 发表于 2010-9-7 12:10:49

你可以看看 10H属性头的帖，昨晚才发的。看看对你有没有帮助、

bdhsxt · 发表于 2010-9-7 15:19:24

回复 2# 本因坊.秀策

不是10属性里的吧

bdhsxt · 发表于 2010-9-7 15:25:00

回复 1# verdly

BF 01应该和你那个扇区的最后两个字节是一样的,当MFT的每个扇区的最后两个字节必须和30 31偏移的字节是一样的,这时候3233字节处的两个值应该是第一个扇区的最后两个字节的值,3435处的值是第二个扇区的最后两个字节的值,3637处好像没什么实际意义.刘伟写的数据恢复的那本里有介绍,数据重现那本书里没有

verdly · 发表于 2010-9-8 16:07:06

回复 verdly

BF 01应该和你那个扇区的最后两个字节是一样的,当MFT的每个扇区的最后两个字节必须 ...
bdhsxt 发表于 2010-9-7 15:25

登录/注册后可看大图

是的，谢谢，我找了一本书的资料后，才明白，