볼륨 오프셋이있는 NTFS 볼륨의 파일을 찾는 방법

Question

16 진수 편집기를 사용하여 NTFS 볼륨을 마운트하면 원하는 데이터가 들어있는 볼륨에서 오프셋을 찾을 수 있습니다. 어떻게 전체 경로를 알아낼 수 있습니까? /이 볼륨 오프셋을 포함하는 파일의 이름?

Answer 1

MFT을 읽고 각 파일의 데이터 속성을 구문 분석하여 특정 오프셋을 포함하는 것을 찾으십시오.

기본적으로 모든 파일 스트림을 살펴 봐야하므로 모든 데이터 특성을 구문 분석해야 할 수도 있습니다.

불행히도 NTFS 데이터 특성의 이진 구조에 대한 빠른 링크를 찾을 수 없습니다. 너는 이걸 위해 너 혼자 야.

Answer 2

아마도 솔루션을 검색하는 사람들이 있습니다. 이 문제에 대한 도구가 있습니다 : SleuthKit Tools.

파티션 테이블의 시작 부분에서 바이트 오프셋이 주어지면 NTFS 파티션의 블록 크기 (보통 4096)로 나누어야합니다.

아이 파인드는/dev/... -d block_offset => 파일