ntfs-mft - 如何通过读取 $MFT 文件记录来提取任何文件的大小？

Question

我需要通过读取该特定文件的 MFT 记录来获取文件大小。请告诉我在哪里可以找到文件大小和文件在磁盘上的位置的偏移量。

Answer 1

没有固定的偏移量，MFT 中的一个文件可以有多个数据流（1 个未命名和多个命名）。您需要解析文件记录头之后的属性，直到您读取DATA 属性（属性类型0x80）。

文件的默认数据流，即打开文件时看到的内容来自未命名的数据流。其他应用程序可能会使用文件中包含的命名数据流。

数据属性内容的大小是文件的实际大小。请记住，数据属性可以是resident 或 non-resident。这意味着如果文件的内容只有几个字节并且它适合文件记录，它将是常驻的，并且内容将紧跟在属性头之后。否则，如果内容不适合文件记录，可以包含文件的适当数量的簇，数据属性将变为非常驻，并且一组数据运行条目将描述磁盘上的内容文件是。