虚拟翻译器Flash Extractor-芯片级数据恢复取证方案025-83608636

虚拟翻译器

这个汇编器可以帮助在手动模式下构建翻译器

FAT32 分区的工作计划
1. ECC 修复 ECC = 关闭
2. 运行自动（慢）
等待它完成块 0x10 并停止它
如果 Root 里面有文件，进入下一步
如果没有，那就是坏消息。需要用手把它放在适当的位置（这很难做到）
3. 运行自动（块）
NTFS 分区的工作计划
1. ECC 修复 ECC = 关闭
2. 运行自动（慢）等待它完成块 0 并停止它如果找到 MBR、NTFS，请转到下一步
3 运行自动（块）
自动（慢）
在转储中搜索块
它为每个块运行检查文件。所以工作很慢。但是可以检查更多的文件系统对象
好处：
- 可以找到具有 FAT 表部分的块
- 有时可以找到 FAT Root
缺点：
- 一次只能找到 1 个方块
自动（块）
在转储中搜索块
首先他记住所有文件类型和位置。然后寻找更匹配这个位置的块
好处：
- 可以一次找到很多块
- 可以更换块，如果它更适合
缺点：
- 找不到 FAT Root
- FAT32 只有看到文件树才能使用
- 如果使用 Mix 属性则不起作用
属性
镜像偏移
镜像中的 MBR 偏移
更正
找到的块存储在这里
格式：
镜像中的块编号/转储中的块地址
例子：
0x10 / 0x125000
混合
在图像中的相邻块之间添加按页连接
格式：
4 / 0x200
2 / 0x8000
方法：
按第 4 页加入，0x200
按第 2 页加入，0x8000
清单
按转储中的位置顺序显示块
Half Blocks
显示数据填充不完整的块
编译
按块在图像中的位置顺序显示块

站内搜索

联系我们