Find centralized, trusted content and collaborate around the technologies you use most.
Teams
Q&A for work
Connect and share knowledge within a single location that is structured and easy to search.
ファイルの物理オフセット (セクター) を取得するために FSCTL_GET_RETRIEVAL_POINTERS を使用しています。私が直面している問題は、サイズが 1 kb 以下のファイルのセクターを取得できないことです。サイズが 1 kb 以下のファイルの記録が MFT 自体に保存されていることは知っています。そのようなファイルのセクターを取得するのを手伝ってくれる人はいますか? 誰かが同じことをしているサンプルコードを私に提供できれば、より良いでしょう。前もって感謝します。
ファイル $MFT を解析して物理的な場所を取得する必要があります。場所は属性 0x80 に格納されています。winhex を使用して raw ディスクを開き、これらの小さなファイルのファイル レコードを表示できます。