NTFS $ LogFile dati client [chiuso]

Question

NTFS $ LogFile dati client [chiuso]

#1 da (0 voti)

0

Sto solo analizzando alcuni dati raw $ LogFile e sono un po 'confuso riguardo al layout dei record (' RCRD ').

Ecco un esempio:

Parsing LSN record at position: 16800
Current LSN: 182393075764
Previous LSN: 182393075745
Current Undo LSN: 182393075745
Client data length: 40
Client ID: 0
Record type: 1
Transaction ID:24
Record flags: 6
Redo operation: 8 (UpdateNonResidentValue)
Undo operation: 0 (Noop)
Redo offset 40
Redo length:80
Undo offset: 40
Undo length: 0
Target attribute: 184
LCNs to follow: 1
    There is a next record!
Record offset: 4016
Attribute offset: 0
MFT cluster index: 0
Target vnc: 12194586
Target LCN: 8501806
Next record at file offset position: 16968

Nell'immagine,puoivederelanuovaposizionedioffset(lafreccia)epuntaversoilcentrodiunaltrorecord.Ilproblemaècheunaltrorecordiniziaimmediatamentedopoquellochevieneanalizzato;tuttaviaidatidiripetizione(conunalunghezzadi80byte)dovrebberoseguirlo,manonèlì.

Stofraintendendoilmodoincuivengonoarchiviatiidatidiredooc'èqualcosachenonva.Laragionepercui"dovrebbe" esserci è dovuta al fatto che l'offset dei dati di rifacimento (relativo alla "operazione di annullamento") mostra 40 byte, che inizia alla fine dell'intestazione RCRD.

Spero che abbia senso, e per favore fatemi sapere se ho bisogno di fornire ulteriori informazioni.

Grazie

windows logging ntfs file-system

posta Tony 28.05.2018 - 18:44

fonte

1 risposta

Leggi altre domande sui tag windows logging ntfs file-system

E 'possibile che un dispositivo abilitato NFC emuli una carta Visa con PayWave? Autentica contro terzi con OTP

score 0 · Answer 1

Sia "Redo offset" che "Undo offset" sono offset dall'inizio di "Redo Op". Ciò indicherebbe che i dati di Redo dovrebbero iniziare a Byte 16888 nella tua immagine.

La "lunghezza dei dati del client" è 40, che dovrebbe essere presa come offset da "Ripeti Op", il che significa che la lunghezza totale del record LSN dovrebbe essere la porzione evidenziata o lunga 88 byte. Quindi sei corretto questo significherebbe che l'offset punta al record LSN successivo che non è corretto e questo mi suggerirebbe che potrebbe esserci qualcosa di sbagliato nel record.

Una cosa strana è il flag Record = 6. Questo per quanto ne so dovrebbe essere 0x01 (il record ha attraversato la pagina corrente) o 0x00 (il record non ha attraversato la pagina corrente).