block - NTFSファイルシステムのMFTからファイルのLBA(論理ブロックアドレス指定)を取得するには?

Question

$MFT ファイルにアクセスし、ファイル属性を抽出しました。

MFT からのファイル属性が与えられた場合、NTFS ファイル システムの MFT レコードからファイルの LBA を取得する方法は?

LBA を計算するには、ファイルのクラスター数を知っています。

クラスター数を使って計算することは可能ですか?

Answer 1

私はあなたの質問に完全には確信が持てませんが、ファイルのディスク上の論理的な場所を見つけようとしているだけなら、これを実現するさまざまな IOCTL があります。

たとえば、MFT ファイル レコード: FSCTL_GET_NTFS_FILE_RECORD http://msdn.microsoft.com/en-us/library/windows/desktop/aa364568(v=vs.85).aspx

HANDLE による特定のファイルのディスク上の場所: FSCTL_GET_RETRIEVAL_POINTERS http://msdn.microsoft.com/en-us/library/windows/desktop/aa364572(v=vs.85).aspx

自分で NTFS を解析しようとしている場合は、$DATA 属性に従う必要があります。これは常に非常駐データの実行になります (MFT 内に常駐できる小さなファイルでない限り)。Microsoft のデータ ランは、次のデータ ランのオフセットと長さを指定する最初の 2 つのニブルに含まれるデータのかなり単純な構造です。