-
未分配空間
鎖定
- 中文名
- 未分配空間
- 外文名
- unallocated space; unallocated
未分配空間
計算機系統內有大量的未分配空間,其多數保存有各種各樣的數據.這些數據很多時候不是人
為隱藏的而是被操作系統"遺棄"的數據.
(一)閒散空間是指文件最後一個數據塊或簇中未使用的部分.只有文件大小正好是數據塊
(FAT32的數據塊是4096個字節)的整數倍時才沒有閒散空間.平均的看每個文件佔用的閒散空
間有0.5個數據塊大小.通過正常的文件系統接口訪問不到這些閒散空間,因為操作系統本身不允
許訪問超過文件末尾的地方.
(二)把文件讀進內存時,閒散空間不會跟進來;把文件寫到一個數據塊不一樣大的磁介質上,
所形成的文件會有不同的閒散空間,而且可能包含有任何留在那種介質上的數據.無論是把文件通
過郵件發給某人還是用FTP在網絡上傳輸都不能把閒散空間裏的的數據帶走.所以取證時對硬盤
的拷貝並不能在文件的級別上進行,而必須對硬盤裏所有的東西進行完全的映象.
(三)未分配的簇指那些當前還沒有被任何文件使用的塊.一個頻繁使用的系統中,所有的扇
區都可能被寫過多次,文件也經常的改換位置.一個應用程序改變一個文件並重寫它以後原先改變
的文件會被刪除佔用的所有數據塊會被回收而處於未分配狀態.這些簇中間保存保存原先文件中的
所有數據,直到被重寫為止.系統中"自由空間"的比例越大,未分配文件被改寫前保存在系統中
的時間就越長.
(四)未分配的數據簇可用幾種方式來進行檢查.最為簡便的方法是用一個取證工具包查看數
據.Unix系統下可以將整個分區看成一個單一的對象,利用16進制編輯器來搜索和檢查整個分區
或硬盤.對一塊硬盤檢查時首先要了解它有幾個分區,每一個分區有多大.所有分區加起來的大小
是否等於整個硬盤大小.
- 詞條統計
-
- 瀏覽次數：次
- 編輯次數：9次歷史版本
- 最近更新： 求额度红色