但是在分析Data的Runlist時遇到一點不懂的地方
以下是我用兩個軟體來分析同一個檔案的MFT
WinHex
DiskExplorer for NTFS
理論上同一個MFT所讀出來的資料應該會一樣
但是在紅色框起來的地方
WinHex的Runlist Offset為0x2DDD0A7
DiskExplorer for NTFS的Runlist Offset為0x1DDD0A7
但此MFT Sector實際讀出來的RAW Data為0x2DDD0A7
可是此檔案真正的Offset必須為0x1DDD0A7
所以是不是Data的Runlist必須做些什麼運算? 還是說有什麼Rule必須Follow??
不然DiskExplorer for NTFS是如何將原本的0x2DDD0A7改成0x1DDD0A7
