windows - setup - musicbrainz picard tutorial español

Obtener el desplazamiento del archivo en el disco/número de clúster

Question

Necesito obtener información sobre dónde se encuentra físicamente el archivo en el disco NTFS. Desplazamiento absoluto, ID del clúster ... cualquier cosa. Necesito escanear el disco dos veces, una vez para obtener los archivos asignados y una vez más tendré que abrir la partición directamente en modo RAW e intentar encontrar el resto de los datos (desde los archivos eliminados). Necesito una manera de entender que los datos que encontré son los mismos que los que ya manejé anteriormente como archivo. Como estoy escaneando el disco en modo raw, el desplazamiento de los datos que encontré se puede convertir de alguna manera en el desplazamiento del archivo (con información sobre la geometría del disco). ¿Hay alguna manera de hacer esto? También se aceptan otras soluciones. Ahora juego con FSCTL_GET_NTFS_FILE_RECORD, pero no puedo hacer que funcione en este momento y no estoy muy seguro de que sea útil.

ACTUALIZAR

Encontré la siguiente función http://msdn.microsoft.com/en-us/library/windows/desktop/aa364952(v=vs.85).aspx Devuelve la estructura que contiene las variables nFileIndexHigh y nFileIndexLow. La documentación dice

The identifier that is stored in the nFileIndexHigh and nFileIndexLow members is called the file ID. Support for file IDs is file system-specific. File IDs are not guaranteed to be unique over time, because file systems are free to reuse them. In some cases, the file ID for a file can change over time.

Realmente no entiendo qué es esto. No puedo conectarlo a la ubicación física del archivo. ¿Es posible luego extraer esta identificación de archivo de MFT?

ACTUALIZAR

Encontrado esto: This identifier and the volume serial number uniquely identify a file. This number can change when the system is restarted or when the file is opened. This identifier and the volume serial number uniquely identify a file. This number can change when the system is restarted or when the file is opened.

Esto no satisface mis requisitos, porque voy a abrir el archivo y el hecho de que la ID pueda cambiar no me hace feliz.

¿Algunas ideas?

Answer 1

Use los IOCTL de desfragmentación . Por ejemplo, FSCTL_GET_RETRIEVAL_POINTERS le dirá las extensiones que contienen datos de archivo.