对于小文件，FSCTL_GET_RETRIEVAL_POINTERS失败

Question

我使用FSCTL_GET_RETRIEVAL_POINTERS来获取文件的物理偏移量(扇区)。我面临的问题是我无法获取大小为1kb或更小的文件的扇区。我知道大小为1kb或更小的文件记录存储在MFT本身中。有没有人可以帮我拿到这些文件的扇区？任何一种帮助都将不胜感激，如果有人能为我提供同样的示例代码，那就更好了。提前谢谢。

Answer 1

您需要解析文件$MFT以检索物理位置，该位置存储在属性0x80中。您可以使用winhex打开原始磁盘并查看这些小文件的文件记录。