如何获得NTFS MFT的最后记录？

Question

我正在编写一个实用程序来解析NTFS中的MFT。到目前为止，我已经编写了获得1024字节MFT记录并遍历其属性的代码。据我所知，MFT开始从记录编号0x23向用户文件分配记录，所以我正在从0x23循环到N个记录数。我想知道如何获得MFT的最后记录？有什么结束标志吗？我如何知道某个记录是否是最后一个记录，这样我就可以停止遍历MFT记录。

任何帮助都将不胜感激。

Answer 1

MFT的位置并不总是固定在音量上。您应该从引导扇区获得启动MFT偏移量(卷的0扇区，您可以在线找到结构)。

MFT中的第一个文件是"$MFT“文件，它是整个MFT本身的文件记录。您可以像任何其他文件一样解析该文件的属性，并获得它的数据运行列表。当您知道集群中每个片段的大小时，为最后一个片段的每个1024字节记录解析最后一个集群(尽管我认为碎片MFT很少见)。MFT中的最后一条记录是标记为"FILE0“的特定集群中的最后一条记录，如果您遇到一个过远的空魔术数字，那么这个数字将是1024字节。

或者，您可以从它的属性中获取文件大小，并根据它有多少片段计算到MFT末尾的偏移量。然后从偏移量中减去1024，您应该查看最后一个文件。

Answer 2

您可以使用这个名为NTFSInfo v1.0的免费Windows工具获得表的起始和结束MFT边界和MFT大小。