NTFS Dateisystem

Boot Sektor

Immer am Anfang der Partition (offset 0x0)

Offset	bis	Beschreibung
0x00	0x07	EB52 904E 5446 5320
0x0B	0x0C	Größe eines Blocks in Byte Bsp: Dump: 00 02 =⇒ Hex: 02 00 ⇒ Dec: 512
0x0D	Größe eines Clusters in Blöcken
0x0E	0x0F	Reservierte Blöcke
0x15	Medien Typ: F8: HD; F0: HD Floppy
0x28	0x2F	Größe des Dateisystems in Blöcken
0x30	0x37	Clusteradresse des ersten Clusters der MFT
0x38	0x3F	Clusteradresse des ersten Clusters des MFT Mirror
0x40	Größe eines MFT-Eintrags (signed int ! ) in Blöcken
0x44	Größe der Index Einträge in Clustern
0x48	0x4F	Seriennummer des Volumes

~~COMPLEX_TABLES~~

Master File Table (MFT)

Ein MFT Eintrag hat eine feste Größe (typ. 1KB, Größe steht im Byte 44h im Bootsektor)

…

Offset	Beschreibung
0x00

Links