Как окна вычисляют уникальный идентификатор тома?

Ответ 1

Вот (основная часть) ответа от Wikipedia:

"Серийный номер - это 32-разрядное число, определяемое датой и временем на часах реального времени на текущем компьютере во время форматирование".

Ответ 2

Это происходит несколько лет назад, когда я работал в компании, которая будет читать и писать на первые 62 сектора жестких дисков. Мы должны быть осторожны, чтобы не перезаписывать все 62 сектора или у нас были бы проблемы с активацией Windows. Обычно запасы хранятся там, однако это не очень секрет.

Конечно, в FAT - 62 секторах до того, как MBR "не используется" и может использоваться любой программой. Я скопировал текст с криминалистической страницы, приведенной ниже, и вы увидите, что ее вероятные уникальные идентификаторы хранятся в первых 62 секторах. Судебные аналитики могут использовать данные в реестре, чтобы определить, что вы удалили жесткий диск, а затем можете искать его. Я предполагаю, что идентификатор был написан там Windows по формату. Двоичные данные являются меткой времени и создаются по формату, и при всем этом это действительно убедительные доказательства того, что бинарные данные, надеюсь, не были закодированы в первых 62 разделах.

Собственно, правильно это я нашел! Этот WinHex - это бомба! вы хотите читать от 0 до (62 * 512) на одном из дисков PHYSICAL (не логично). Я не думаю, что у вас возникнут проблемы с изменением этого, кроме, возможно, активации howeber, который является старой проблемой, и я считаю, что они остановились, так как люди теперь часто обновляют свой SSD, когда они тают.

FROM http://www.forensicfocus.com/a-forensic-analysis-of-the-windows-registry

Судебный анализ реестра Windows

Деррик Дж. Фармер Шамплейн Колледж Берлингтон, Вермонт [email protected]

Установленные устройства

В реестре есть ключ, который позволяет просматривать каждый привод, связанный с системой. Ключом является HKLM\SYSTEM\MountedDevices и хранит базу данных смонтированных томов который используется файловой системой NTFS. Бинарные данные для каждого \ DosDevices\x: значение содержит информацию для идентификации каждого тома. Это показано на рисунке 7, где \DosDevice\F: монтируется том и указан как "Сменные носители хранения".

Рисунок 7 Идентификация объема \DosDevice\F:

Эта информация может быть полезной для цифрового эксперта по судебной экспертизе, поскольку она показывает аппаратные устройства, которые должны быть подключены к системе. Поэтому, если устройство показано в списке MountedDevices и что устройство физически не находится в системе, это может указывать на то, что пользователь удалили диск, пытаясь скрыть доказательства. В этом случае, эксперт знал бы, что у них есть дополнительные доказательства, которые должны быть схвачен.

СЕКТОРЫ 1-62 ЦИТАТЫ ОТ
http://www.beginningtoseethelight.org/fat16/index.htm секторы 1 - 62 ( >= 31,744 байт)

сектора 1 - 62 включительно обычно остаются пустыми. приложения, которые используйте его: мультизагрузочные загрузчики, такие как предварительная загрузка с помощью ranish менеджер. программ безопасности, таких как дискретная магнитная дискета. вирусы которые копируют себя в главную загрузочную запись, чтобы они могли загружать каждый раз, иногда переместите настоящий mbr в эту область, плюс больше вирусный код. программы полного шифрования диска и перенос дисков программное обеспечение для очень больших жестких дисков также может находиться здесь.

Ответ 3

Во-первых, GUID - это GUID. Это всего лишь случайная последовательность чисел, которая имеет очень низкий шанс иметь дублируемую запись. Я сомневаюсь, что он будет генерироваться каждый раз, когда Windows загрузится, хотя я признаю, что это возможно. Я никогда не замечал, что это меняется, так как я не вижу свой hdd GUID, который часто

Кроме того, вы откладываете lpVolumeSerialNumber? Если нет, вы, вероятно, получаете адрес памяти. Венгерское обозначение "lp" == "Длинный указатель на..." Серийный номер тома сам по себе выглядит как DWORD, 32-битное целое число