Glossar
DLS-Seite (1SLD, 2SLD, 3SLD)
Die Blockstruktur in dekomprimierten FSEvents-Logs: ein 12-Byte-Header mit der Magic 1SLD, 2SLD oder 3SLD, gefolgt von dicht gepackten Datensätzen.
Eine DLS-Seite ist die Blockstruktur einer dekomprimierten FSEvents-Logdatei. Jedes Log in .fseventsd ist eine gzip-Datei; entpackt ist es eine Folge von Seiten, und jede Seite beginnt mit einem 12-Byte-Header:
| Offset | Größe | Feld |
|---|---|---|
| 0 | 4 | Magic: die ASCII-Bytes 1SLD, 2SLD oder 3SLD |
| 4 | 4 | Unbekannt |
| 8 | 4 | Seitengröße, u32 Little-Endian, einschließlich Header |
Nach dem Header folgen die Datensätze lückenlos, bis die Seitengröße erreicht ist. Die Magic legt ihr Layout fest: Ein 1SLD-Datensatz ist ein NUL-terminierter Pfad, gefolgt von einer Event-ID und Flags (12 Byte); 2SLD ergänzt eine 8-Byte-Node-ID (20 Byte, macOS 10.13 und neuer); 3SLD ergänzt vier weitere Bytes (24 Byte, macOS 14 und neuer), deren Bedeutung Apple nicht dokumentiert hat. Manche Beschreibungen sprechen von „DLS1/DLS2“, weil die Magic als Little-Endian-Ganzzahl gelesen so lautet; auf der Platte stehen die Bytes 1SLD.
Warum das für Untersuchungen wichtig ist
Die Seitenversion bestimmt, was ein Datensatz belegen kann. Ohne Node-ID (1SLD) lassen sich Umbenennungen nur über aufeinanderfolgende Event-IDs paaren. Ein Volume, das über mehrere macOS-Upgrades hinweg genutzt wurde, kann mehrere Versionen nebeneinander enthalten. Und weil Apple das Format nicht dokumentiert, erlaubt erst die Kenntnis der Seitengrenzen einem Parser, mit Schäden umzugehen: Eine Seite, deren Größe über die Daten hinausreicht, oder Datenmüll zwischen Seiten kann gemeldet und übersprungen werden, ohne die umliegenden Datensätze zu verlieren.
Beispiel
Ein Header, der mit 33 53 4c 44 beginnt, gehört zu einer 3SLD-Seite. Lauten die Bytes 8 bis 11 2c 1a 00 00, ist die Seite 0x1a2c = 6.700 Byte lang, einschließlich Header. Jeder Datensatz darin besteht aus einem Pfad, einem NUL-Byte und 24 Byte fester Felder.
Verwandte Begriffe
Der FSEvents Parser zeigt für jede Logdatei die Seitenversion und etwaige Schäden an; das vollständige Layout steht im Artikel zum Dateiformat.