- 积分
- 370
- 下载分
- 分
- 威望
- 点
- 原创币
- 点
- 下载
- 次
- 上传
- 次
- 注册时间
- 2007-11-6
- 精华
|
3#
发表于 2020-5-27 10:12:25
|
只看该作者
来自: 北京 来自 北京
举个例子,我有一个GPT分区,数据盘的DBR在物理硬盘的32768扇区,DBR描述MFT文件位于786,432簇,而每个簇包含8个扇区。那么这个数据盘的MFT的绝对位置就在
32768(DBR的绝对位置)+786432(簇)*8(簇等于8个扇区)=6324224
如果在一个分区DBR的位置想直接从WINHEX跳过去,不计算物理位置,直接从相对位置。那么就是786432(簇)*8(簇等于8个扇区)=6291456个扇区,转换成十六进制等于600000。那么从DBR的位置开始进行Offset偏移跳转,跳转条件是扇区(Winhex默认跳转有好几个单位,要选择Sector,且后面默认是HEX十六进制,所以跳转要以十进制转换为十六进制进行)。这样跳转后就是你当前分区的MFT的位置了,而且跳转后你就能看到物理上的绝对位置了
|
|