WinHex MFT 記錄中簇地址偏移分析：小端序導致的地址解讀差異

現象描述

在 WinHex 中查看 MFT 記錄時，起始簇地址顯示為 0797B2H，但實際文件起始簇為 0797B2000H，差異為後補三個 0；數據大小顯示 (30*8)H 但實際為 30000H±FFF。

根本原因：x86 小端序存儲

Intel x86 架構採用小端序存儲多字節數值：低位字節存放在低地址。

地址字節對比

數據大小字段解析

MFT 標準信息屬性中 Data Size 佔 8 字節（64位）：

• 顯示值 30H 實為低位字節
• 完整值應讀取 8 字節組合：00 00 00 00 00 00 30 00 → 0x3000000000000000 (大端讀取)
• 實際大小 30000H 需結合運行數據屬性確認

正確解讀方法

1. 使用 WinHex 模板解析 MFT 結構
2. 或編寫腳本按小端序讀取 8 字節組合值
3. 關注 $DATA 屬性中的 Starting VCN 和 Data Runs

數據恢復實戰提示

手動計算簇地址時，務必按小端序組合所有字節，並驗證 Data Runs 壓縮編碼格式（首字節高4位表示長度字節數，低4位表示偏移字節數）。