NTFS Dateisystem

• Immer am Anfang der Partition (offset 0)
• Beginnt mit EB52 904E 5446 5320

• Byte 0Bh - 0Ch: Größe eines Blocks in Byte
  Bsp: Dump: 00 02 =⇒ Hex: 02 00 ⇒ Dec: 512
• Byte 0Dh: Größe eines Clusters in Blöcken
• Byte 0Eh - 0Fh: Reservierte Blöcke
• Byte 15h: Medien Typ: F8: HD; F0: HD Floppy
• Byte 28h - 2Fh: Größe des Dateisystems in Blöcken
• Byte 30h - 37h: Clusteradresse des ersten Clusters der MFT
• Byte 38h - 3Fh: Clusteradresse des ersten Clusters des MFT Mirror
• Byte 40h: Größe eines MFT-Eintrags (signed int ! ) in Blöcken
• Byte 44h: Größe der Index Einträge in Clustern
• Byte 48h - 4Fh: Volume Serial Number

• Ein MFT Eintrag hat eine feste Größe (typ. 1KB, Größe steht im Byte 44h im Bootsektor)

~~COMPLEX_TABLES~~