Я наполовину успешно написал анализатор записей файла для файла MFT (он анализировал прогоны данных MFT, и данные казались связными).У меня все еще проблемы с набором номера.Проблема, с которой я столкнулся, связана с анализом прогона данных атрибута $ DATA.
У меня есть прогон данных 41 01 81 3B 83 00 FC 18, после группировки - 41 01 81 3B 83 00 | FC 18.Первый прогон имеет смещение 4 байта и длину 1 байт, поэтому это 8600449 смещения кластера и 1 длина кластера.Второй прогон меня смущает, потому что он кажется отрицательным.Ресурсы по теме, которую я нашел, не упоминают, что это возможно, даже в случае разреженных или сжатых файлов.Само смещение может быть отрицательным, но какова его длина?Файл, о котором идет речь, имеет 786 байт, поэтому он полностью уместится при первом запуске данных.