問題タブ [ntfs-mft]

Python からローカル ディスクから MFT テーブルを読み込もうとしています。もちろん、次のように書くと：

私は手に入れます

[ Errno 13] アクセスが拒否されました: 'C:\$MFT'

pyMFTGrabber を使用しようとしましたが、機能しません。「socket.errors」が大量に発生しました。

Python を使用して、このファイルを読み取る最良かつ簡単な方法は何ですか?
多分それはいくつかのWinAPIか、それとも何か他のものですか？読んだ後、それを分析したい"analyzeMFT"

NTFSのMFTを解析するコードを書いています。非居住者の $INDEX_ALLOCATION 属性の Data Run を分析しようとしています。

11 01 2C 11 02 FE 11 00 9F 0B 21 01 DB 00 21 01 D9 00 21 01 E0 00 21 01 F6 00 21 01 10 01 00 F1

再グループ化した後、Data Run No 3: DataRun 1: 11 01 2C DataRun 2: 11 02 FE DataRun 3: 11 00 9F <- "00" とはどういう意味ですか?

Active Disk Editor 3 を使用して分析を試みたところ、このソフトウェアは次のように分解しました。しかし、3 バイトあります。

何か案が？

.net アプリケーションで C# を使用して Windows MFT (Master File Table) にアクセスする必要があります。
これについてグーグルで検索しましたが、良い結果が見つかりませんでした。過去 2 日間の情報を検索しましたが、同じ情報を見つけることができませんでした。

私は同じことを行うための正確なコードを探しているわけではありません。私を始めるための情報を探しているだけです。

私が把握できた唯一のことは、P/Invoke を使用する必要があるということです。
MFT にアクセスするために使用する関数を知りたいです。
コードサンプルを提供できれば、それは素晴らしいことです。

パーサー ファイル システム NTFS を書き込みます。カタログを一貫して読み取り、選択したディレクトリの内容に関する情報を表示する必要があります。これは、ファイルとサブディレクトリに関する情報を含む MFT レコードを読み取るためにのみ必要です。質問: どのように整理するのですか? MFT レコードには、他の MFT レコード ファイルおよびサブディレクトリへのリンクのリストが含まれていますか?

ドライブからファイル名を列挙する必要があるプロジェクトで作業しています。2つの方法を試しました

1. MFT 解析と
2. FindFirstFile によるマルチスレッド。両方の実装の実行時間を比較したところ、MFT サイズが小さいほど実行が速くなり、MFT サイズが GB を超えると実行に時間がかかりました。

私の観察は次のとおりです。

• ボリューム C: MFT サイズ: 1.85 GB 実行時間: 65 秒 コアのスレッド数: 9 秒
• ボリューム D: MFT サイズ: 38 MB 実行時間: 0.593 秒 コアのスレッドの量: 1 秒
• ボリューム C:MFT サイズ: 1.02 GB 実行時間: 11 秒 コアのスレッド数: 3 秒
• ボリューム D:MFT サイズ: 89.75 MB 実行時間: 1 秒 コアあり スレッド数: 2 秒

Ps 測定は 2 つの別々のマシンから取得されます。

これらの観察により、MFT の解析がそのサイズに依存するかどうかについて少し混乱していますか? スレッド化が小さいサイズの MFT に対してより良い解決策を提供しないのはなぜですか?

P/Invoke 呼び出しを使用して C: ドライブのルートを読み取ることから始めて、MFT をいじっています。以下のコードを使用すると、バッファー サイズが 512 の倍数の場合は期待どおりの結果が得られますが、それ以外の場合は読み取りが ERROR_INVALID_PARAMETER で失敗します。これはクラスターサイズと関係がありますか? クラスタ サイズが 4k バイトであるため、これはありそうにありません。明らかに、512 の倍数を使用することもできますが、これは移植可能ではない可能性があるように思われます。もちろん、なぜそうなのかを理解したいと思います。

クラスター/ブロック番号を取得する方法を知っている人はいますか? C/C++ の MFT からの $BITMAP ファイルの? MFT の $BITMAP ファイルのファイル レコード番号が 6 であることはわかっていますが、そのセクタ番号またはブロック/クラスタ番号を知るにはどうすればよいですか? 実際に $Bitmap ファイルを読みたいです。

注: Windows API を使用したくありません。

肯定的な応答を待っています。前もって感謝します。

ファイルの一部をコピーせずに、ファイルストリームやそれを使用する関数を使用せずに、大きなファイルを小さなファイルに分割したい (可能な場合)。
3 つのファイルで構成される大きなファイルがあるとします。

私の意見では、次の手順でこれを行うことができます。

1. SetEndOfFile 関数を使用して、最後のファイルのバイトを切り捨てます ([File3bytes]この例では)

2. どういうわけか、ファイル システムにこれらの切り捨てられたバイト ( [File3bytes]) を実際のファイルとして認識させるように強制します (おそらく、MFT テーブルに情報を追加するか、可能であれば NTFS で何かを行うか、上記のすべてを実行できる関数または方法を使用します)。 .

助言がありますか？

このように System.IO.Directory.GetFiles() を使用する

次の 2 つのファイルが見つかりました。

• C:\Windows\System32\mycompanyname.scr
• C:\Windows\SysWOW64\mycompanyname.scr

Windows エクスプローラーは C:\Windows\System32 にあるものを認識できず、コマンド ライン ディレクトリも認識できません。さらに、MFT を検索する私自身のコードは、MFT に mycompanyname.scr のインスタンスが 1 つしかなく、その親ディレクトリ レコード番号が C:\Windows\SysWOW64 を指していることを示しています。問題。また、2 つのディレクトリのどちらもジャンクション ポイントではないことも確認しました。

誰かがこれがなぜなのか説明してもらえますか?