字段名 |
偏移(字节) |
大小(字节) |
描述/值 |
项类型 |
0 |
1 |
0x81
类型区域 |
偏移 |
大小 |
值 |
是否使用 |
7 |
1 |
1 |
类别 |
6 |
1 |
0 |
是否重要 |
5 |
1 |
0 |
代码 |
0 |
5 |
00001 |
|
位图标志 |
1 |
1 |
位 |
大小 |
值 |
目的 |
7-1 |
|
|
保留 |
0 |
1 |
0 |
位图1 |
0 |
1 |
1 |
位图2 |
|
保留 |
2 |
18 |
|
第一簇 |
20 |
4 |
第一个数据块的簇地址 |
数据长度 |
24 |
8 |
数据的长度 |
注意:最少有一个这个项。这个项的数目取决于VBR的MBS中的FAT数。 |
位图分配表项定义了位图的位置。可能有一个或两个这种0x81类型的项目,这取决于FAT数。两个FAT表的只用于TexFAT中。当有两个FAT表时,“位图标志”中的一个位决定这个目录项与哪个FAT表有关。位图的“第一簇”区域指向位图的开始。尽管位图通常位于簇集的第一个簇(第2簇),理论上它可以位于簇集的任何一个位置,可能移动到其它簇。司法取证者不能依靠经验判断簇集的第一个簇就是位图分配,有人可能熟练的修改簇集的位图分配来欺骗调查者。
“数据长度”区域以字节记录位图分配表的大小。这个值是这样计算的,用簇集的总簇数(VBR中的簇数目)除以8,算到下一个字节(有小数的全入)。计算结果是这个位图分配需要多少字节,位图分配中的一位代表簇集是的一个簇。
评论前必须登录!
注册