Windows Papierkorb (INFO2)

Wenn eine Datei gelöscht wird, wird diese Datei in das Papierkorb-Verzeichnis des aktuellen Benutzers auf dem betreffenden Laufwerk verschoben "[Lw]:\RECYCLER\[SID]\" und umbenannt. Bei den Betriebssystemen Windows 9x/ME wird das Verzeichnis "[Lw]:\RECYCLED\" verwendet. Weiters wird ein Eintrag in der Datei INFO2 hinzugefügt.

Der neue Dateiname beginnt immer mit dem Buchstaben "D" und der zweite Buchstabe bezeichnet den Laufwerksbuchstaben (z.B. C, D etc.). Im Anschluss daran folgt eine eindeutige Dateinummer, die auch in der Datei INFO2 enthalten ist. Die Dateinamenserweiterung bleibt unverändert.

Aufbau der Datei "INFO2"

Die ersten 16 Byte in der Datei enthalten den Dateiheader, dessen letztes DWord die Länge der einzelnen Einträge angibt (800 Byte). Danach folgen die einzelnen Einträge, die sich wie folgt zusammensetzen:

Offset 0x0, Länge: 1 DWord

Unbekannt (immer 0)

Offset 0x4, Länge: max. 260 Byte

Dateiname der gelöschten Datei, inklusive dem Laufwerksbuchstaben und dem Dateipfad (nullterminiert).

Offset 0x108, Länge: 1 DWord

Eindeutige Dateinummer, die auch im Dateinamen der gelöschten Datei enthalten ist (sh. oben).

Offset 0x10C, Länge: 1 DWord

Lauferksnummer (0 = A, 1 = B, 2 = C etc.)

Offset 0x110, Länge: 1 DWord

Datum und Zeit der Löschung. Diese ist im FILETIME-Format gespeichert und gibt die Zeit in UTC an.

Offset 0x118, Länge: 1 QWord

Größe der Datei auf dem Datenträger (Anzahl der Bytes in den belegten Zuordnungseinheiten).

Offset 0x10C, Länge: bis Ende

Dateiname im Unicode-Format (nullterminiert).