MAPPING1.MAP, MAPPING2.MAP, MAPPING3.MAP

Les fichiers MAPPING sont les tables de pages du dépôt CIM. INDEX.BTR désigne les enregistrements par numéro de page logique ; un fichier MAPPING indique où chaque page logique se trouve physiquement dans OBJECTS.DATA, et fait de même pour les pages de l'index lui-même. Chaque fichier contient donc deux tables, d'abord pour OBJECTS.DATA, puis pour INDEX.BTR. Chaque table commence par la signature 0xABCD et un numéro de version, liste une entrée par page logique, puis une liste de pages libres, et se termine par 0xDCBA. Une valeur spéciale signale une page logique non mappée.

Windows conserve trois générations, de MAPPING1.MAP à MAPPING3.MAP, afin de pouvoir se rétablir après une écriture interrompue. Le fichier dont la version est la plus élevée est le fichier courant ; les autres décrivent des états antérieurs du dépôt.

Pourquoi c'est important en investigation

La table courante détermine ce qui est actif. Une page physique d'OBJECTS.DATA qu'aucune entrée ne référence est libre, et les pages libres conservent ce qui y a été écrit en dernier, y compris des filtres, consommateurs et liaisons supprimés. Les outils de récupération s'en servent pour qualifier chaque enregistrement récupéré par carving : dans une page mappée et sa table des matières, il est utilisé ; dans une page non mappée ou dans l'espace résiduel d'une page, il a été libéré.

La table doit correspondre aux autres fichiers. Si INDEX.BTR est plus récent que la table, les clés pointent vers les mauvaises pages physiques, et la vue structurée ne fonctionne plus, alors que le carving fonctionne toujours. Collectez le dossier entier depuis un seul cliché instantané (shadow copy).

Exemple

Comment une recherche se résout, étape par étape :

INDEX.BTR key   .../IL_<hash>.271.2079886610.299   -> logical page 271
MAPPING (current, highest version): entry 271       -> physical page P
OBJECTS.DATA    offset P x 8192, table of contents  -> record 2079886610

Termes associés

WMI Parser choisit automatiquement la table courante et s'en sert pour distinguer les objets actifs des objets récupérés. Pour savoir comment les pages libérées sont analysées par carving, lisez Récupérer une persistance WMI supprimée dans OBJECTS.DATA.