Glossar
MAPPING1.MAP, MAPPING2.MAP, MAPPING3.MAP
Die Seitenzuordnungen des WMI-Repositorys: Sie übersetzen logische Seitennummern von OBJECTS.DATA und INDEX.BTR in physische Seiten. Drei Generationen.
Die MAPPING-Dateien sind die Seitenzuordnungen des CIM-Repositorys. INDEX.BTR verweist auf Datensätze über logische Seitennummern; eine MAPPING-Datei gibt an, wo jede logische Seite physisch in OBJECTS.DATA liegt, und tut dasselbe für die Seiten des Index selbst. Jede Datei enthält daher zwei Zuordnungen, zuerst für OBJECTS.DATA und dann für INDEX.BTR. Jede Zuordnung beginnt mit der Signatur 0xABCD und einer Versionsnummer, führt einen Eintrag pro logischer Seite auf, danach eine Liste freier Seiten, und endet mit 0xDCBA. Ein besonderer Wert markiert eine logische Seite, die nicht zugeordnet ist.
Windows hält drei Generationen vor, MAPPING1.MAP bis MAPPING3.MAP, um sich von einem fehlgeschlagenen Schreibvorgang erholen zu können. Die Datei mit der höchsten Version ist die aktuelle; die anderen beschreiben frühere Zustände des Repositorys.
Warum das für Untersuchungen wichtig ist
Die aktuelle Zuordnung entscheidet, was aktiv ist. Eine physische Seite von OBJECTS.DATA, auf die kein Eintrag verweist, ist frei, und freie Seiten behalten, was zuletzt dort geschrieben wurde, einschließlich gelöschter Filter, Consumer und Bindings. Wiederherstellungswerkzeuge nutzen das, um jeden gecarvten Datensatz einzuordnen: Liegt er in einer zugeordneten Seite und in deren Inhaltsverzeichnis, ist er in Gebrauch; liegt er in einer nicht zugeordneten Seite oder im Page Slack, wurde er freigegeben.
Die Zuordnung muss zu den anderen Dateien passen. Ist INDEX.BTR neuer als die Zuordnung, verweisen Schlüssel auf die falschen physischen Seiten: Die strukturierte Ansicht bricht zusammen, während das Carving weiterhin funktioniert. Sichern Sie den gesamten Ordner aus einer einzigen Schattenkopie.
Beispiel
Wie eine Suche Schritt für Schritt aufgelöst wird:
INDEX.BTR key .../IL_<hash>.271.2079886610.299 -> logical page 271
MAPPING (current, highest version): entry 271 -> physical page P
OBJECTS.DATA offset P x 8192, table of contents -> record 2079886610
Verwandte Begriffe
WMI Parser wählt die aktuelle Zuordnung automatisch aus und unterscheidet damit aktive von wiederhergestellten Objekten. Wie freigegebene Seiten gecarvt werden, lesen Sie in Gelöschte WMI-Persistenz aus OBJECTS.DATA wiederherstellen.