Атрибут $1М0ЕХ_К00Т (идентификатор типа 144) всегда является резидентным. Он всегда представляет корневой узел индексного дерева, а храниться в нем может лишь небольшой список индексных элементов. Атрибут $1МС)ЕХ_К00Т обладает 16-разрядным заголовком, за которым следует заголовок узла и список индексных элементов (рис. 13.5). Заголовок узла описан в разделе «Структура данных заголовка индексного узла», а индексные элементы - в разделе «Структура данных обобщенного индексного элемента», а этот раздел посвящен заголовку $1М0ЕХ_К00Т.

Рис. 13.5. Внутренняя структура атрибута $ШОЕХ_РЮОТ: заголовок, заголовок узла и индексные элементы

Заголовок $1М ОЕХ_КООТ начинается с байта 0 содержимого атрибута, а его поля перечислены в табл. 13.12.

Таблица 13.12. Структура данных атрибута $ШОЕХ_1ЮОТ

Диапазон

Описание

Необходимость

0-3

Тип атрибута в индексе (0, если элемент не использует атрибута)

Да

4-7

Правило сортировки

Да

8-11

Размер каждой индексной записи в байтах

Да

12-12

Размер каждой индексной записи в кластерах

Да

13-15

Не используется

Нет

16+

Заголовок узла (см. табл. 13.14)

Да

Структура данных определяет тип атрибута, содержащегося в индексных элементах, способ их сортировки и размер каждой индексной записи в атрибуте $1М0ЕХ_А1_1_0САТЮМ. Значение размера в байтах 8-11 задается в байтах, а значение поля в байте 12 представляет собой либо количество кластеров, либо логарифм размера. Способ кодирования более подробно описан в разделе «Файл $ВооЬ>. Помните, что размер индексной записи также задается в загрузочном секторе.

Для просмотра содержимого атрибута $1М0ЕХ_К00Т можно воспользоваться программой icat с указанием типа 144:

# icat ^ ги^5 Ш$1.ск1 7774-144 ххс1

0000000: 3000 0000 0100 0000 0010 0000 0400 0000 0...............

0000016: 1000 0000 аООО 0000 аООО 0000 0100 0000 ................

[...]

Байты 0-3 показывают, что атрибут в индексе относится к типу 48 (0x30), что соответствует атрибуту $Р11_Е_МАМЕ. Байты 8-11 показывают, что размер каждой индексной записи равен 4096 байтам.

Атрибуты и структуры данных индексов | Криминалистический анализ файловых систем | Атрибут $ш0ех_аи.0сат10м


Криминалистический анализ файловых систем



Новости за месяц

  • Март
    2020
  • Пн
  • Вт
  • Ср
  • Чт
  • Пт
  • Сб
  • Вс