01Konum
- <NTFS volume>\$LogFile (MFT entry 2)
02Yanıtladığı sorular
- Günlükte hangi son üst veri işlemleri hâlâ bulunuyor?
- Belirli bir günlüğe alınmış işlem en son hangi MFT girdilerini değiştirdi (her girdi başlığındaki LSN aracılığıyla)?
- Son disk denetiminde hangi günlük konumu kaydedildi (checkdisk last LSN)?
03Biçim ve sürümler
| Biçim | Düzeltme değerleriyle korunan Log File Service sayfaları: yeniden başlatma sayfaları ('RSTR' veya 'CHKD' imzası) ve kayıt sayfaları ('RCRD'). Kayıtlar; bu LSN'yi, önceki LSN'yi, geri al-sonraki LSN'yi, istemci veri uzunluğunu, istemci kimliğini, kayıt türünü ve işlem kimliğini içeren LFS_RECORD_HEADER ile başlar. |
|---|---|
| Geçerli olduğu sürümler | Tüm NTFS birimleri; kayıt içeriklerinin libfsntfs'teki kamuya açık tanımı henüz eksiktir. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| Restart page header | İmza, checkdisk last LSN, sistem sayfa boyutu, günlük sayfa boyutu, yeniden başlatma ofseti, alt ve ana biçim sürümü. |
| LSN / previous LSN / undo-next LSN | Günlük kayıtlarını birbirine bağlayan zincir değerleri. |
| RecordType / TransactionId | Kayıt türü (commit, istemci yeniden başlatma, istemci güncelleme) ve gruplama tanımlayıcısı. |
| MFT entry header LSN | O MFT girdisine yapılan son günlüğe alınmış değişikliğin $LogFile sıra numarası. |
05İnceleme akışı
- $LogFile'ı aynı birim durumundan $MFT ve $UsnJrnl ile birlikte çıkarın.
- Kayıt sayfalarını ayrıştırmadan önce yeniden başlatma sayfalarını ve düzeltme değerlerini doğrulayın.
- LSN zincirlerini izleyin ve her girdi başlığındaki LSN'yi kullanarak kayıtları MFT girdilerine eşleyin.
- Sonuçları yalnızca $MFT ve $UsnJrnl bulgularıyla birlikte kullanın.
06Yorum tuzakları
- $LogFile bir denetim izi olarak değil, arıza sonrasında dosya sistemi tutarlılığını geri getirmek için vardır.
- Kayıt yükleri kamuya açık kaynaklarda yalnızca kısmen belgelenmiştir; yorumlar test verisiyle doğrulanmalıdır.
- Kaynaklar günlük yapılarının kendisinde duvar saati zaman damgası belgelemez; zamanlama ilgili $MFT veya $UsnJrnl kayıtlarından gelmelidir.
08Kaynaklar
- New Technologies File System (NTFS) libyal / libfsntfs (J. Metz) · erişim 2026-10-14
- NTFS overview Microsoft Learn · erişim 2026-10-14
- MFTECmd README Eric Zimmerman (GitHub) · erişim 2026-10-14