Glossar
MFT-Dateireferenz
Eine 8-Byte-NTFS-Kennung aus einer 48-Bit-MFT-Eintragsnummer und einer 16-Bit-Sequenznummer, enthalten in vielen ShellBag-Einträgen.
Eine NTFS-Dateireferenz identifiziert einen Datensatz der Master File Table: eine 48-Bit-Eintrags-(Segment-)Nummer plus eine 16-Bit-Sequenznummer, von Microsoft als MFT_SEGMENT_REFERENCE dokumentiert. Die Sequenznummer ändert sich, wenn der Datensatz freigegeben und wiederverwendet wird.
File-Entry-Items in ShellBags tragen die Referenz des Ordners in ihrem 0xBEEF0004-Block. Der Abgleich mit der aktuellen $MFT und dem USN-Journal zeigt, ob ein Ordner noch existiert, umbenannt oder gelöscht wurde. Siehe gelöschte Ordner mit ShellBags nachweisen.