2 b571013930 b571013930 于 2015.06.21 18:27 提问

winhex中的MFT寻找文件数据簇地址问题

<br>
图片说明
比如这个起始簇地址应该为0797B2H,但是我看了看文件的实际起始簇地址为0797B2000,而且每个文件的起始簇地址在winhex中的数再加上3个000才是正确的,这里数据大小(簇个数)占用字节数应该为(30*8)H,但是我也看了看实际的数据大小为30000H+FFF或30000H-1H,只是为什么

3个回答

caozhy
caozhy   Ds   Rxr 2015.06.21 18:40
已采纳

因为x86是大端的,所以颠倒过来了。

b571013930
b571013930 知道我说什么吗。我上面的图片是文件的实际起始簇地址和数据大小(簇个数)占用字节数在winhex得出的
2 年多之前 回复
b571013930
b571013930 回复b571013930:
2 年多之前 回复
b571013930
b571013930 我是说数据大小(簇个数)占用字节数应该按理来说是30H,但是我查看不是30H而是30000H-1,而文件的实际起始簇地址按理来说也是0797B2H,但是他是0797B2000H
2 年多之前 回复
b571013930
b571013930   2015.06.21 21:24

现在明白了。但是0797B2000H为什么还要加3个0

b571013930
b571013930   2015.07.06 12:58

因为winhex写错了

Csdn user default icon
上传中...
上传图片
插入图片