Tool Testing

Phill recently posted regarding some testing that he'd conducted, with respect to tools for parsing Windows Recycle Bin files. From Phill's blog post, and follow-on exchanges via Twitter, it seems that Phill tested cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following tools (I'm assuming cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 versions tested):

- rifiuti2
- Jason Hale's $I Parse - blog posts here and here
- Dan Mare's RECYCLED_I app - cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 main software page states "RECYCLED_I: Program to parse cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 $I files extracted via a forensic software package. Special request.", but you can download it (and get syntax/usage) from here.
- My own recbin.pl/.exe

Phill's testing resulted in Eric Zimmerman creating RBCmd (tweet thread).

What I was able to determine after cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fact is that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "needs" of a parsing tool were:

- parse Recycle Bin files from XP/2003 systems (INFO2), as well as Win7 & Win10 ($I*)
- for Win7/10, be able to parse all $I* files in a folder.

The results from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 testing were (summarized):

- Some tools didn't do everything; some don't parse both XP- and Win7-style Recycle Bin files, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 initial versions of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 tool I wrote parsed but did not display file sizes (it does now)
- The tool I wrote can optionally display tabular, CSV, and TLN output
- Eric's RBCmd parses all file types, including directories of $I* files; from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 tweet thread, it appears that RBCmd displays tabular and CSV output
- rifiuit2 was cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fastest

So, if you're looking to parse Recycle Bin index files (eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r INFO2 or $I* format)...cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re you go. 

$I* File Structures
As Jason Hale pointed out over 2 1/2 years ago, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 $I* file structure changed between Win7 and Win10.  Most of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 values are in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same location (cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 version number...cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first four bytes...were updated from 1 to 2), but where Win7 had a fixed length field that included cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 name and original path (in Unicode) of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file, Win10 and Win2016 have a four byte name length field, followed by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file path and name, in Unicode.

Resources
SemanticScholar PDF
4n6Explorer article