在解释RunList时不得不防USN

在NTFS中为数据的完整性,提出了USN的概念.

若要自己解释FILE  INDEX结构 ,则不得不考虑USN

否则将出现想像不到的结果

 

一.FILE结构的解释

BYTE  buffer[1024];

1.把FILE读入内存中

2.把USN修改回来

 buffer[510] = buffer[0x32];

 buffer[511] = buffer[0x33];

 buffer[1022] = buffer[0x34];

 buffer[1023] = buffer[0x35];

 

这样就可以对此FILE进行正常的Decode了...

 

 

 

在FILE和INDEX中有USN存在

1. FILE中结构如下

   每个扇区的最后两字节的数据(第510,511字节)

和第0x30,0x31的数据相同,其原始的数据在第0x32,0x33之中.

  

------------------------------------------

|   FILE                                     |                                      

|                                            |

|0x30|0x31|0x32|0x33|0x34|0x35|--------------|

|                                            |

|                                            |

|                                            |