Glossaire
Bloc d'extension 0xBEEF0004
Le bloc d'extension des items file entry qui ajoute les dates de création et d'accès, une référence de fichier NTFS et le nom de fichier long.
Les blocs d'extension suivent le corps d'un shell item de type file entry. Celui de signature 0xBEEF0004 est le plus utile en forensique : il contient les horodatages FAT de création et de dernier accès, le nom long (Unicode) et, à partir de la version 7, une référence de fichier MFT NTFS.
Son numéro de version (3 sous XP, 7 sous Vista, 8 sous Windows 7/8.0, 9 sous 8.1/10, selon libfwsi) modifie les offsets qui précèdent le nom long et indique quelle version de Windows a écrit l'item. Analyse octet par octet : le format des shell items expliqué.