我正在使用FSCTL_GET_RETRIEVAL_POINTERS来获取文件的物理偏移（扇区）。 我面临的问题是我无法获得大小为1 kb或更小的文件的扇区。 我知道大小为1 kb或更小的文件的logging存储在MFT本身中。 有人可以帮助我获得这些文件的部门？ 任何forms的帮助将不胜感激，如果有人能够为我提供相同的示例代码，那将会更好。 提前致谢。
您需要解析文件$ MFT来检索物理位置，位置存储在属性0x80中。 您可以使用winhex打开原始磁盘并查看这些小文件的文件记录。