1

我正在使用 FSCTL_GET_RETRIEVAL_POINTERS 来获取文件的物理偏移量（扇区）。我面临的问题是我无法获取大小为 1 kb 或更小的文件扇区。我知道大小为 1 kb 或更少的文件记录存储在 MFT 本身中。有人可以帮我获取此类文件的扇区吗？任何形式的帮助将不胜感激，如果有人可以为我提供相同的示例代码会更好。提前致谢。

4

1 回答 1

2

您需要解析文件 $MFT 以检索物理位置，该位置存储在属性 0x80 中。可以用winhex打开原盘，查看这些小文件的文件记录。

于 2013-01-24T01:51:50.927 回答