Espacio asignado, libre y de holgura

Los sistemas de archivos no reparten el disco byte a byte, sino en clústeres: grupos de sectores que son la unidad mínima de asignación. Con 8 sectores de 512 bytes, un clúster mide 4096 bytes. Un archivo ocupa siempre un número entero de clústeres, y lo que le sobra en el último es su holgura (en inglés, slack): espacio asignado al archivo, que el archivo no usa.

La holgura no se borra al guardar el archivo: puede conservar lo que había en ese espacio antes, de otro archivo ya eliminado. Eso es lo que la hace interesante para quien analiza.

La holgura de un archivo es el número de clústeres que ocupa, por el tamaño del clúster, menos el tamaño del archivo. El número de clústeres es el cociente entre el tamaño y el del clúster, redondeado hacia arriba.

Con los datos del volumen y de las entradas de la carpeta, calcula la holgura de un archivo que no cae justo en un múltiplo de 4096.

En FAT, borrar un archivo marca su entrada de directorio como borrada (en el listado, con un asterisco) y libera sus clústeres en la tabla de asignación. Los datos de esos clústeres no se tocan: permanecen hasta que otro archivo reutiliza el espacio. Si lo reutiliza solo a medias, parte del contenido viejo queda en la holgura del nuevo.

Lee el listado de entradas: dos están borradas. Una de ellas tenía, antes de borrarse, los mismos clústeres que hoy ocupa uno de los archivos vigentes. Después lee el final del clúster 3102 y busca qué texto hay al terminar los datos del archivo vigente.

El texto sobrante se lee en la columna de la derecha del volcado, que muestra los bytes imprimibles como caracteres. A partir del offset donde termina el archivo vigente (el offset 0x800 del clúster, que es el 2048 del tamaño del archivo), lo que hay ya no es suyo.

Léelo línea a línea. Una de las líneas es una referencia interna que identifica el documento de origen.

Que haya texto de un archivo borrado en la holgura de otro es una evidencia sólida de que existió y de qué contenía. Pero es un hallazgo sobre el volumen, no sobre personas ni sobre momentos: el listado no dice quién lo borró ni cuándo, y el contenido encontrado no prueba que alguien lo leyera. El informe afirma lo que la evidencia sostiene.