Hello, All!
I found in MFT Record such $DATA attribute:
00340108 80 00 00 00 C8 02 00 00
00340110 01 00 00 00 01 00 03 00
00340118 00 00 00 00 00 00 00 00
00340120 FF 07 00 00 00 00 00 00
00340128 48 00 04 00 00 00 00 00
00340130 00 00 80 00 00 00 00 00
00340138 00 42 7F 00 00 00 00 00
00340140 00 42 7F 00 00 00 00 00
00340148 00 70 4C 00 00 00 00 00
00340150 31 0B 73 6A 65 01 05 11
00340158 0A 0B 01 06 11 0E 0A 01
00340160 02 11 0E 0E 01 02 11 0D
00340168 0E 01 03 11 0D 0D 01 03
00340170 11 0E 0D 01 02 11 0E 0E
00340178 01 02 11 0E 0E 01 02 11
00340180 0D 0E 01 03 11 0D 0D 01
00340188 03 11 0E 0D 01 02 11 0D
00340190 0E 01 03 11 0D 0D 01 03
00340198 11 0D 0D 01 03 11 0D 0D
003401A0 01 03 11 0D 0D 01 03 11
003401A8 0D 0D 01 03 11 0D 0D 01
003401B0 03 11 0D 0D 01 03 11 0D
003401B8 0D 01 03 11 0D 0D 01 03
003401C0 11 0D 0D 01 03 11 0D 0D
003401C8 01 03 11 0D 0D 01 03 11
003401D0 0D 0D 01 03 11 0D 0D 01
003401D8 03 11 0D 0D 01 03 11 0D
003401E0 0D 01 03 11 0A 0D 01 06
003401E8 11 01 0A 01 0F 11 06 01
003401F0 01 0A 11 05 06 01 0B 11
003401F8 09 05 01 07 11 09 0E 05 <— 3401FF
00340200 07 11 07 09 01 09 11 05
00340208 07 01 0B 11 05 05 01 0B
…
003403B8 08 11 07 08 01 09 11 08
003403C0 07 01 08 11 09 08 01 07
003403C8 11 14 09 01 0C 00 0C 00
I can’t understand why at address 3401FF I found byte 0x5 (5 - Size of length
field and 0 - Size of offset length), not 1.
–
Best regards!
movzx