关于NTFS文件系统中RUN的问题

lzhongh · 发表于 2012-3-1 12:05:05

在NTFS系统中，如果有多个RUN，第一个RUN的开始簇在后面RUN的开始簇的后面，这时如何按照确定第二个RUN的开始簇？例如：31 02 52 21 11 21 01 55 33 21 02 50 22，第二个RUN的开始簇如何确定？

nhqwsj · 发表于 2012-3-1 12:28:32

31 02 52 21 11 21 01 55 33 21 02 50 22
31中的1代表大小，3代表开始簇，那么后面一共有4位，02是大小，52 21 11是开始簇;那么这里一共有3个run ：31 02 52 21 11 ，21 01 55 33， 21 02 50 22.

lzhongh · 发表于 2012-3-1 18:29:35

谢谢你的解释，但我问的是第二个RUN的开始簇是如何计算的？不知你是否看过刘伟老师的《数据恢复技术深度揭秘》这本书，在本书的354页的一个例子中的RUN计算，是如何计算的？他书中的RUN是这样的“31 08 9B 10 03 21 08 77 CA 21 08 45 01 21 08 9B 03 21 10 F0 20 21 08 0E 05”6个RUN，第一个RUN的起始LCN是200859，而第二个RUN的LCN=200859-13705=187154，第三个RUN的LCN=187154+325=187479，第四个RUN的LCN=.........后面的没有问题，关键是第二个RUN计算中的13705是什么？