Glosario
MAPPING1.MAP, MAPPING2.MAP, MAPPING3.MAP
Los mapas de páginas del repositorio WMI: traducen las páginas lógicas de OBJECTS.DATA e INDEX.BTR a páginas físicas. Se conservan tres generaciones.
Los archivos MAPPING son los mapas de páginas del repositorio CIM. INDEX.BTR se refiere a los registros por número de página lógico; un archivo MAPPING indica dónde se encuentra físicamente cada página lógica en OBJECTS.DATA, y hace lo mismo con las páginas del propio índice. Por tanto, cada archivo contiene dos mapas: primero el de OBJECTS.DATA y después el de INDEX.BTR. Cada mapa empieza con la firma 0xABCD y un número de versión, enumera una entrada por página lógica, luego una lista de páginas libres, y termina con 0xDCBA. Un valor especial marca una página lógica que no está asignada.
Windows conserva tres generaciones, de MAPPING1.MAP a MAPPING3.MAP, para poder recuperarse de una escritura fallida. El archivo con la versión más alta es el actual; los demás describen estados anteriores del repositorio.
Por qué importa en una investigación
El mapa actual decide qué está activo. Una página física de OBJECTS.DATA a la que no hace referencia ninguna entrada está libre, y las páginas libres conservan lo último que se escribió en ellas, incluidos filtros, consumidores y enlaces eliminados. Las herramientas de recuperación se basan en esto para etiquetar cada registro recuperado mediante carving: si está dentro de una página asignada y de su tabla de contenidos, está en uso; si está en una página no asignada o en el slack de página, fue liberado.
El mapa debe coincidir con los demás archivos. Si INDEX.BTR es más reciente que el mapa, las claves apuntan a páginas físicas equivocadas, y la vista estructurada falla aunque el carving siga funcionando. Recopile la carpeta completa de una única instantánea de volumen.
Ejemplo
Cómo se resuelve una búsqueda, paso a paso:
INDEX.BTR key .../IL_<hash>.271.2079886610.299 -> logical page 271
MAPPING (current, highest version): entry 271 -> physical page P
OBJECTS.DATA offset P x 8192, table of contents -> record 2079886610
Términos relacionados
WMI Parser elige automáticamente el mapa actual y lo usa para distinguir los objetos activos de los recuperados. Para saber cómo se aplica carving a las páginas liberadas, lea Recuperar persistencia WMI eliminada de OBJECTS.DATA.