我正在尝试从动态 VHD 的 NTFS 文件系统的主引导部分计算 MFT 偏移量。此动态 VHD MFT 的 Little Endian 群集位置突出显示:
然后进一步解析为MFT_OFFSET= cluster_address * sector_per_cluster * SECTORSIZE
(此处SECTORSIZE
为 512)来计算 MFT 的实际偏移量...此计算适用于固定 VHD 的情况。但在动态 VHD 中却并非如此。
在动态中,我有块分配表值。我用来计算磁盘 MBR 的第一个条目然后将我指向磁盘的第一个分区。在这里我可以计算 MBS 偏移量。但是当我使用上面提到的集群位置来计算 MFT 位置时,它指向其他地方。
有哪些进一步的步骤可以帮助我解决这个问题?