B-) の独り言

■フォルダのエントリ

従来「.」と「..」のパターン検索を行うことで、FATのフォルダエントリを探したりできましたが、exFATではフォルダ内のディレクトリエントリとして「.」と「..」がなく、直接 0x85 などのレコードが記録されています。ということで、Recover Folders...が使えないというか、EnCaseの右クリックメニューにも表示が見あたりません。*1

Grep「\x05.{31,31}\x40.{31,31}\x41」で 0x05 と 0x40 と 0x41 が出てくるのを探せないこともないとは思いますが、その後を手動でやるのがちょっと大変ですかねぇ。実際に検索してみるとそこそこノイズも出るので、もう少し精査しないと駄目かも。

Permalink | コメント(0) | トラックバック(0) | 12:07