NTFS Master File Table ($MFT)
| Format | NTFS Master File Table ($MFT) |
|---|---|
| Kurzname | $MFT |
| Kategorie | Dateisystem |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Die NTFS-Metadatendatei mit einem Datensatz von 1 KiB (manchmal 4 KiB) pro Datei und Verzeichnis, für die Triage oft einzeln exportiert. Jeder Datensatz enthält die Zeitstempel aus $STANDARD_INFORMATION und $FILE_NAME, Namen, Referenz auf das übergeordnete Verzeichnis, Größe sowie die Data Runs oder residente Daten. Datensätze gelöschter Dateien bleiben erhalten, bis sie wiederverwendet werden. Eine einzelne $MFT enthält nur residente Daten; nicht residente Dateiinhalte und der Rest des Dateisystems sind nicht enthalten.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 46 49 4C 45 30 00 | FILE0. | MFT-Eintragssignatur 'FILE' mit Fixup-Offset 0x30 (NTFS 3.1, Windows XP und neuer) |
| Offset 0 (0x0) | 46 49 4C 45 2A 00 | FILE*. | MFT-Eintragssignatur 'FILE' mit Fixup-Offset 0x2A (NTFS 3.0 und älter) |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- New Technologies File System (NTFS) — format documentation (libyal/libfsntfs) https://github.com/libyal/libfsntfs/blob/main/documentation/New%20Technologies%20File%20System%20(NTFS).asciidoc
- ForensicsWiki — $MFT https://forensics.wiki/$mft/
Diesen Eintrag zitieren
Crush-Format-Referenz, „NTFS Master File Table ($MFT)“. https://kalink0.github.io/crush-forensics/formats/de/mft/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden