NTFS $ LogFile datos del cliente

0

Estoy en el proceso de analizar algunos datos en bruto de $ LogFile, y estoy un poco confundido con respecto al diseño de los registros ('RCRD').

Aquí hay un ejemplo:

Parsing LSN record at position: 16800
Current LSN: 182393075764
Previous LSN: 182393075745
Current Undo LSN: 182393075745
Client data length: 40
Client ID: 0
Record type: 1
Transaction ID:24
Record flags: 6
Redo operation: 8 (UpdateNonResidentValue)
Undo operation: 0 (Noop)
Redo offset 40
Redo length:80
Undo offset: 40
Undo length: 0
Target attribute: 184
LCNs to follow: 1
    There is a next record!
Record offset: 4016
Attribute offset: 0
MFT cluster index: 0
Target vnc: 12194586
Target LCN: 8501806
Next record at file offset position: 16968

En la imagen, puede ver la nueva ubicación de desplazamiento (la flecha) y está apuntando hacia el centro de otro registro. El problema es que otro registro comienza inmediatamente después del analizado; sin embargo, los datos de rehacer (con una longitud de 80 bytes) deben seguirlo, pero no está allí.

O bien entiendo mal cómo se almacenan los datos de rehacer, o hay algo que no está bien. La razón por la que 'debería' estar allí es debido al desplazamiento de los datos de rehacer (en relación con la 'operación de deshacer') está mostrando 40 bytes, que comienzan al final del encabezado RCRD.

Espero que tenga sentido y, por favor, avíseme si necesito proporcionar alguna información adicional.

Gracias

    
pregunta Tony 28.05.2018 - 18:44
fuente

0 respuestas

Lea otras preguntas en las etiquetas