FSCTL_GET_RETRIEVAL_POINTERS не работает для небольших файлов
Я использую FSCTL_GET_RETRIEVAL_POINTERS для получения физического смещения файла (секторы).
Проблема, с которой я сталкиваюсь, заключается в том, что я не могу получить сектора файлов, размер которых составляет 1 КБ или менее.
Я знаю, что запись файлов размером 1 кб или меньше хранится в самом MFT.
Может кто-нибудь помочь мне получить секторы таких файлов?
Буду признателен за любую помощь, будет лучше, если кто-нибудь предоставит мне пример кода, делающего то же самое.
Заранее спасибо.
Решение
Вам необходимо проанализировать файл $ MFT, чтобы получить физическое местоположение, местоположение хранится в атрибуте 0x80. Вы можете использовать winhex, чтобы открыть сырой диск и просмотреть записи файлов этих маленьких файлов.
Другие решения
Других решений пока нет …