ExtractUsnJrnl

NTFSの変更ジャーナルは \$Extend\$UsnJrnl にあるファイルです。これは通常のディレクトリ一覧では見つけることができず、通常の手段でも見つけられないシステムメタファイルです。関連データは $J という名前の代替データストリームにあります。もう一つ $Max と呼ばれるADSもありますが、これはほとんど無関係です。$J はスパースである可能性があり、データの一部が00で埋められていることを意味します。これは全データのかなりの部分を占める可能性があり、ほとんどのツールはこのデータストリームを完全なサイズで抽出します（これは煩わしく、ディスク容量の大きな無駄です）。そこでこのツールの出番です。変更ジャーナルから実際のデータのみを抽出します。そのため抽出速度も明らかに向上します。200 MBしか必要ないのに20 GBを抽出する必要はありません。

パラメータの説明 /ImageFile: 抽出元イメージファイルの完全パスとファイル名。このパラメータを使用する場合は /ImageVolume: を設定する必要があります。省略可能。 /ImageVolume: 抽出元のボリューム番号。ボリュームがNTFSでない場合は抽出されません。/ImageFile: とのみ使用します。 /DevicePath: 抽出元の完全なデバイスパス。省略可能。 /OutputPath: 抽出先ファイルの出力パス。省略可能。省略した場合、プログラムディレクトリがデフォルトになります。 /OutputName: 出力ファイル名。省略可能。省略した場合、ファイル名は $UsnJrnl_$J.bin になります。

入力は /ImageFile: または /DevicePath: を指定できます。イメージファイルは raw dd のようなイメージで、ディスクまたはパーティションタイプのイメージである必要があります。/DevicePath でデバイスパスを指定する場合、ボリュームがマウントされていない接続デバイスにアクセスできます。例: HarddiskVolume1, Harddisk0Partition2, HarddiskVolumeShadowCopy1, PhysicalDrive1。PhysicalDriveN の場合は /ImageVolume パラメータを指定する必要があります。デフォルトではUsnJrnlがプログラムディレクトリの $UsnJrnl_$J.bin に抽出されます。出力ファイル名が既に存在する場合、既存のファイルはリネームされ、"renamed_[タイムスタンプ]" が追加されます。[タイムスタンプ] はプログラム実行時の現在時刻です。

使用例:

ExtractUsnJrnl /ImageFile:e:\images\disk.dd /ImageVolume:1 /OutputPath:e:\temp /OutputName:UsnJrnl_vol1.bin ExtractUsnJrnl /DevicePath:c: ExtractUsnJrnl /DevicePath:\.\HarddiskVolumeShadowCopy1 /OutputPath:e:\temp /OutputName:UsnJrnl_SC1.bin ExtractUsnJrnl /DevicePath:\.\Harddisk0Partition2 /OutputPath:e:\temp ExtractUsnJrnl /DevicePath:\.\PhysicalDrive0 /ImageVolume:3 /OutputPath:e:\temp