问题标签 [ntfs-mft]

我在重新启动时丢失了作为临时磁盘安装在 AWS 上的 Windows NTFS 分区。但是，有一个来自早期备份的主文件表 (MFT)。是否可以使用 MFT 重建丢失的分区？如果是这样，有什么工具和技巧可以快速做到这一点？

如果不是，可能还需要哪些其他信息？

注意：[我主要在 Linux 中工作，Windows 内部对我来说是新的]

我目前正在开发一个小的合规性应用程序，它应该能够扫描具有许多文件（数百万）的 NTFS 卷以获取安全信息。

目前我知道文件或目录的每个 FileSystemAccessRule 都列在 MFT ADS 中，用于 NTFS 卷的 $Secure，具有唯一的 ID。如果 2 个或更多文件具有相同的访问规则，则通过主 MFT 条目中的 id 链接。因此，它是一种重复数据删除以节省空间。

我已经在使用 NTFSReader 作为一个库来获取以字节为单位的文件列表和完整路径，这在使用 MFT 时速度非常快。我搜索了也公开安全信息的库，以便我可以进一步处理它们。但没有运气。我还尝试使用 PInvoke 为自己阅读 $Secure 的 MFT ADS，但无济于事。

是否有任何库或代码片段可以让我学习如何做到这一点？

提前致谢 ：）

我需要酷库NTFSReader的帮助

我需要扫描磁盘上的所有文件并将一些信息保存到数据库中。当我尝试使用下面的代码读取大容量（约 10 -15 TB 的数据，包含很多小文件）时，我收到错误“无位图数据”。

有错误的代码：

据我了解，代码在 MFT 中找不到位图属性，并引发错误。使用低于 4 Tb 的数据量，我可以成功读取 MFT 结构。我已经用提升的权限进行了测试。具有 GPT 分区的磁盘。任何帮助表示赞赏。

我正在为 SQLite 创建一个 MFT 转储文件解析器，并且只需要来自 $STANDARD_INFORMATION 和 $FILE_NAME 属性的信息。我已经阅读了有关 MFT 记录本身的一些文档，但我仍然不确定 $SI 和 $FN 是否都保证是常驻属性，因为它会减少大量字节偏移检查。