对于小文件，FSCTL_GET_RETRIEVAL_POINTERS失败

Question

我正在使用FSCTL_GET_RETRIEVAL_POINTERS来获取文件的物理偏移量（扇区）。 我面临的问题是我无法获得大小为1 kb或更小的文件扇区。 我知道大小为1 kb或更小的文件记录存储在MFT本身。 有人可以帮我获取这些文件的扇区吗？ 任何类型的帮助将不胜感激，如果有人可以提供相同的示例代码，那将会更好。 提前谢谢。

Answer 1

您需要解析文件$ MFT以检索物理位置，该位置存储在属性0x80中。您可以使用winhex打开原始磁盘并查看这些小文件的文件记录。