NTFS Dateisystem

Boot Sektor

Immer am Anfang der Partition (offset 0)

Beginnt mit EB52 904E 5446 5320

Byte 0Bh - 0Ch: Größe eines Blocks in Byte
Bsp: Dump: 00 02 =⇒ Hex: 02 00 ⇒ Dec: 512

Byte 0Dh: Größe eines Clusters in Blöcken

Byte 0Eh - 0Fh: Reservierte Blöcke

Byte 15h: Medien Typ: F8: HD; F0: HD Floppy

Byte 28h - 2Fh: Größe des Dateisystems in Blöcken

Byte 30h - 37h: Clusteradresse des ersten Clusters der MFT

Byte 38h - 3Fh: Clusteradresse des ersten Clusters des MFT Mirror

Byte 40h: Größe eines MFT-Eintrags (signed int ! ) in Blöcken

Byte 44h: Größe der Index Einträge in Clustern

Byte 48h - 4Fh: Volume Serial Number

Master File Table (MFT)

Ein MFT Eintrag hat eine feste Größe (typ. 1KB, Größe steht im Byte 44h im Bootsektor)

~~COMPLEX_TABLES~~