0x10屬性在RAID分析中比較苻用的是時(shí)間戳信息，通過各成員盤時(shí)間戳的比較能夠 判斷出數(shù)據(jù)的新鮮度，有時(shí)候還能夠判斷出哪個(gè)條帶是校驗(yàn)塊。

以上圖的文件記錄內(nèi)的0x10屬性為例，0x10屬性中“文件創(chuàng)建時(shí)間”的信息如下圖所示。

上圖中陰影部分是3塊成員盤同一扇區(qū)0x10屬性中的“文件創(chuàng)建時(shí)間”，旁邊是數(shù)據(jù)解釋器對時(shí)間信息的解釋，很明顯2.img的時(shí)間是不合理的，所以2.img當(dāng)前扇區(qū)所在條帶是校驗(yàn)塊。

本文系轉(zhuǎn)載，如有侵犯版權(quán)問題，請通知。我們立即刪除。

轉(zhuǎn)載請注明：成都千喜數(shù)據(jù)恢復(fù)中心 » $MFT的0x10屬性在RAID數(shù)據(jù)恢復(fù)分析中的作用