mft read

[DOLBY]

Ув. Форумчане. Есть такая задача - прочитать содержимое mft ntfs диска.
Файл "\\.\C:" открывается нормально, но что делать дальше?
Заранее спасибо.

#include <windows.h>
#include <stdio.h>

int main()
{
	HANDLE hFile;
	LPCSTR fileName = "\\\\.\\C:";
	
	hFile = CreateFile(fileName, 
	
		GENERIC_READ, 
		FILE_SHARE_READ | FILE_SHARE_WRITE, 
		NULL, 
		OPEN_EXISTING, 
		FILE_ATTRIBUTE_NORMAL, 
		NULL);

	if (hFile != INVALID_HANDLE_VALUE)
	{

		printf("File was open\n");
		system("pause");
		return 0;
	}
	else
	{
		printf("Could not open file (error %d)\n", GetLastError());
		system("pause");
		return 1;
	
	}
}

[DOLBY]

Ну что, никто не сталкивался с подобной ситуацией?

[pu4koff]

Ну, наверно, читать дальше надо посредством ReadFile. Ну и не забывать закрывать его за собой посредством CloseFile

[Black Fregat]

Вот тебе в твой код добавка, чтобы получить первый сектор MFT. Дальше сам разбирайся.

	BYTE Buffer[512];
	DWORD Readed;
	ReadFile(hFile, Buffer, 512, &Readed, NULL);

	int ClusterSize = *(WORD*)(Buffer+11) * Buffer[13];
	int Pos = *(DWORD*)(Buffer+48) * ClusterSize;

	SetFilePointer(hFile, Pos, NULL, FILE_BEGIN);
	ReadFile(hFile, Buffer, 512, &Readed, NULL);

[DOLBY]

Вот немного изменил код, нашёл пару статей по структуре ntfs, вроде разобрался. Одного не могу понять... Почему на диске "C" MFTPos равен -1073741824? Он вообще может быть отрицательный?
И подскажите пожалуйста какую-нибудь программку, которая читает mft, для сравнения.

#include <windows.h>
#include <stdio.h>

int main()
{
	int drive='C';
	HANDLE h;
	char fileName[] = "\\\\.\\C:";

	printf("Drive letter: ");
	scanf_s("%c", &drive);
	fileName[4]=drive;
	system("cls");
	
	h = CreateFile(fileName, GENERIC_READ, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);

	if (h != INVALID_HANDLE_VALUE)
	{
		printf("File \"%s\" was opened\n\n", fileName);

		BYTE buf[512];
		DWORD BytesRead;
		ReadFile(h, buf, 512, &BytesRead, NULL);

		DWORD MFTStartCluster=*(DWORD*)(buf+48);
		WORD BytesPerSector=*(WORD*)(buf+11);
		BYTE SectorsPerCluster=*(BYTE*)(buf+13);

		int ClusterSize = BytesPerSector * SectorsPerCluster;
		int MFTPos = MFTStartCluster * ClusterSize;
		printf("%d\n%d\n", ClusterSize, MFTPos);

		system("pause");
		CloseHandle(h);
		return 0;
	}
	else
	{
		printf("Could not open file \"%s\" (error %d)\n",  fileName, GetLastError());
		system("pause");
		return 1;
	
	}
}

[Black Fregat]

Сообщение от DOLBY

Почему на диске "C" MFTPos равен -1073741824? Он вообще может быть отрицательный?

Во-первых, он, безусловно, unsigned.

Во-вторых, возможно, переполняется, это вполне вероятно. Используй 64-байтные числа + старшие разряды в SetFilePointer через 3-й параметр.

И в-третьих, давно бы уже руками на виндовом калькуляторе посчитал произведение трех чисел - все стало бы ясно

[DOLBY]

Спасибо, я уже разобрался. Просто надо было сначала поковырять, а потом сюда писать.

[P1lot]

Если можно, объясните, пожалуйста, для меня как дальше разобрать таблицу MFT. Я получаю доступ к диску, смещение считаеся правильно, далее я читаю 512 байт... и что с ними делать??? Объясните пожалуйста, или хотя бы посоветуйте где почитать, нужно написать такую программу... Даже специально зарегистрировался здесь, в надежде на Вашу помощь. Спасибо!