NTFS格式 读取MFT信息

#include "ntfs.h"
#include <iostream>
#include <fstream>
#include <map>
#include <vector>
using namespace std;
//管理员权限运行
typedef struct {
	ULONGLONG index;
	ULONGLONG parent;
	WCHAR name[1024];
	int type; //0 file 1 dir
} FILE_INFO, *PFILE_INFO; 

//枚举盘符
void OpenNtfsVolume()
{
	WCHAR tDrivers[26*4+1] = {};
	GetLogicalDriveStrings(26*4+1,tDrivers);
	WCHAR fileSysBuf[8];
	DWORD dwDri; //0~25

	WCHAR szRootName[40];
	WCHAR szVolumeName[32];
	int iFilterRoot=0;
	for(WCHAR *p=tDrivers;*p!='\0';p+=4)
	{       
		if(*p>=L'a') *p-=32;//
		dwDri=*p-L'A';
		if(DRIVE_FIXED==GetDriveTypeW(p))
		{	
			DWORD dwMaxComLen,dwFileSysFlag;
			GetVolumeInformationW(p,szVolumeName,32,NULL,&dwMaxComLen,&dwFileSysFlag,fileSysBuf,8);
			if(fileSysBuf[0]==L'N' && fileSysBuf[1]==L'T' && fileSysBuf[2]==L'F' && fileSysBuf[3]==L'S')
			{
				swprintf(szRootName,L"%s (%c:)",szVolumeName,*p);
				WCHAR szVolumePath[10];
				swprintf(szVolumePath,L"\\\\.\\%c:",*p);
				wcout<<szVolumePath<<endl;
			}
		}
	}
}

int main()
{
	//wcout.imbue(locale(locale(),"",LC_CTYPE));
	char szACP[16];  
	sprintf(szACP, ".%d", GetACP());  
	//setlocale(LC_CTYPE, szACP);
	wcout.imbue(locale(locale(),szACP,LC_CTYPE));
	OpenNtfsVolume();

	WCHAR driveletter[] = L"\\\\.\\D:";
	HANDLE hVol = CreateFile(driveletter, GENERIC_READ | GENERIC_WRITE, FILE_SHARE_READ | FILE_SHARE_WRITE,NULL,OPEN_EXISTING,0,NULL);
	NTFS_VOLUME_DATA_BUFFER ntfsVolData;
	DWORD dwWritten = 0;

	BOOL bDioControl = DeviceIoControl(hVol, FSCTL_GET_NTFS_VOLUME_DATA, NULL, 0, &ntfsVolData, sizeof(ntfsVolData), &dwWritten, NULL);
	if (!bDioControl) {wcout<<L"error"<<endl; return 1;}

	LARGE_INTEGER num;
	num.QuadPart = 1024;
	LONGLONG total_file_count = (ntfsVolData.MftValidDataLength.QuadPart/num.QuadPart);
	wcout<<L"total_file_count:"<<total_file_count<<endl;


	PNTFS_FILE_RECORD_OUTPUT_BUFFER ntfsFileRecordOutput = (PNTFS_FILE_RECORD_OUTPUT_BUFFER)malloc(sizeof(NTFS_FILE_RECORD_OUTPUT_BUFFER)+ntfsVolData.BytesPerFileRecordSegment-1);
	for( LONGLONG i = 0; i < total_file_count && i < 10;i++)
	{
		NTFS_FILE_RECORD_INPUT_BUFFER mftRecordInput;
		mftRecordInput.FileReferenceNumber.QuadPart = i;
		memset(ntfsFileRecordOutput, 0, sizeof(NTFS_FILE_RECORD_OUTPUT_BUFFER)+ntfsVolData.BytesPerFileRecordSegment-1);
		DeviceIoControl(hVol, FSCTL_GET_NTFS_FILE_RECORD, &mftRecordInput, sizeof(mftRecordInput), ntfsFileRecordOutput, sizeof(NTFS_FILE_RECORD_OUTPUT_BUFFER)+ntfsVolData.BytesPerFileRecordSegment-1, &dwWritten, NULL);
		PFILE_RECORD_HEADER pfileRecordheader=(PFILE_RECORD_HEADER)ntfsFileRecordOutput->FileRecordBuffer;
		if(pfileRecordheader->Ntfs.Type != 'ELIF')
			continue;
		for(PATTRIBUTE pAttribute = (PATTRIBUTE)((PBYTE)pfileRecordheader +pfileRecordheader->AttributeOffset);pAttribute->AttributeType != -1;pAttribute=(PATTRIBUTE)((PBYTE)pAttribute +pAttribute->Length))
		{
			switch (pAttribute->AttributeType)
			{
			case AttributeFileName:
				{
					if((0x0002 & pfileRecordheader->Flags) && (0x0001 & pfileRecordheader->Flags));
					PFILENAME_ATTRIBUTE pFileNameAttr=PFILENAME_ATTRIBUTE((PBYTE)pAttribute+PRESIDENT_ATTRIBUTE(pAttribute)->ValueOffset);
				}
				break;
			case AttributeStandardInformation:
				break;
			case AttributeAttributeList:
				break;
			case AttributeObjectId:
				break;
			}
		}
	}
	free(ntfsFileRecordOutput);

	USN_JOURNAL_DATA journalData;
	READ_USN_JOURNAL_DATA readData = {0, 0xFFFFFFFF, FALSE, 0, 0};

	PUSN_RECORD usnRecord;
	DWORD dwBytes;
	DWORD dwRetBytes;
	char buffer[USN_PAGE_SIZE];
	bDioControl = DeviceIoControl(hVol, FSCTL_QUERY_USN_JOURNAL, NULL,0,&journalData,sizeof(journalData),&dwBytes,NULL);
	if (!bDioControl) {wcout<<L"error"<<endl; return 1;}
	readData.UsnJournalID = journalData.UsnJournalID;
	wprintf(L"Journal ID: %I64x\n", journalData.UsnJournalID );
	wprintf(L"FirstUsn: %I64x\n\n", journalData.FirstUsn );

	MFT_ENUM_DATA med;
	med.StartFileReferenceNumber = 0;
	med.LowUsn = 0;
	med.HighUsn = journalData.NextUsn;

	map<ULONGLONG,wstring> namemap;
	map<ULONGLONG,ULONGLONG> frnmap;
	vector<FILE_INFO> fileVect;
	for (;;)
	{
		memset(buffer, 0, sizeof(USN_PAGE_SIZE));
		//FSCTL_ENUM_USN_DATA FSCTL_READ_USN_JOURNAL
		//DeviceIoControl( hVol, FSCTL_READ_USN_JOURNAL, &readData,sizeof(readData),&buffer,USN_PAGE_SIZE,&dwBytes,NULL);
		bDioControl = DeviceIoControl( hVol, FSCTL_ENUM_USN_DATA, &med, sizeof(med),&buffer,USN_PAGE_SIZE,&dwBytes,NULL);
		if (!bDioControl) {wcout<<L"error"<<endl; break;}

		if(dwBytes<=sizeof(USN)) break;//结束!
		dwRetBytes = dwBytes - sizeof(USN);//跳过了1个USN，此USN是下一论查询起点
		usnRecord = (PUSN_RECORD)(((PUCHAR)buffer) + sizeof(USN));  
		while(dwRetBytes > 0)
		{
			FILE_INFO fi;
			fi.index = usnRecord->FileReferenceNumber;
			fi.parent = usnRecord->ParentFileReferenceNumber;

			//wprintf(L"USN: %I64x\n", usnRecord->Usn );
			//wprintf(L"File name: %.*s\n", (int)(usnRecord->FileNameLength/2),usnRecord->FileName );
			//wprintf(L"Reason: %x\n", usnRecord->Reason );

			memset(fi.name,0,sizeof(fi.name));
			swprintf(fi.name,L"%.*ws", (int)(usnRecord->FileNameLength/2),usnRecord->FileName);
			namemap[fi.index] = wstring(fi.name);
			fileVect.push_back(fi);
			frnmap[fi.index] = fi.parent;

			dwRetBytes -= usnRecord->RecordLength;
			usnRecord = (PUSN_RECORD)(((PCHAR)usnRecord) + usnRecord->RecordLength);    
		}
		med.StartFileReferenceNumber=*(DWORDLONG*)buffer;
		//readData.StartUsn = *(USN *)&buffer; 
	}
	wcout<<fileVect.size()<<endl;
	map<ULONGLONG,wstring>::iterator it;
	/*for ( it=namemap.begin() ; it != namemap.end(); it++ )
	{
	wcout << (*it).first << " => " << ((*it).second).c_str() <<"==>"<<namemap[(*it).first].c_str()<< endl;
	}*/

	//wofstream ofs(L"data.txt");
	for (LONGLONG i = 0; i < fileVect.size(); i++)
	{
		FILE_INFO fi = fileVect[i];
		wcout<<i<<": "<<fi.name<<"===>";
		ULONGLONG parent = fi.parent;
		while (namemap.find(parent) != namemap.end())
		{
			wstring dir = namemap[parent];
			wcout<<L"\\"<<dir.c_str();

			if (frnmap.find(parent) != frnmap.end())
			{
				parent = frnmap[parent];
			}
			else
			{
				break;
			}
		}
		wcout<<endl;
	}
	wcout<<"done"<<endl;
	CloseHandle(hVol);
	return 0;
}

/*typedef struct {

DWORD RecordLength;
WORD   MajorVersion;
WORD   MinorVersion;
DWORDLONG FileReferenceNumber;
DWORDLONG ParentFileReferenceNumber;
USN Usn;
LARGE_INTEGER TimeStamp;
DWORD Reason;
DWORD SourceInfo;
DWORD SecurityId;
DWORD FileAttributes;
WORD   FileNameLength;
WORD   FileNameOffset;
WCHAR FileName[1];

} USN_RECORD, *PUSN_RECORD;*/

下面是ntfs.h的内容，编译使用UNICODE编码

#include <Windows.h> 
#include <WinIoCtl.h>

typedef struct { 
	ULONG Type;  //4B  'ELIF','XDNI','DAAB','ELOH','DKHC'  
	USHORT UsaOffset;  //2B 更新序列号数组偏移，校验值地址 
	USHORT UsaCount;  //1+n 1为校验值个数 n为待替换值个数  fixup 
	USN Usn; //8B 每次记录被修改 USN都变化 
} NTFS_RECORD_HEADER, *PNTFS_RECORD_HEADER;

typedef struct { //sizeof(FILE_RECORD_HEADER)==48 
	NTFS_RECORD_HEADER Ntfs;  //16B Ntfs.Type总是'ELIF' 
	USHORT SequenceNumber; //File Reference Number的高16位  i是低48位 0~total_file_count-1
	//用于记录主文件表记录被重复使用的次数 
	USHORT LinkCount; //记录硬连接的数目，只出现在基本文件记录中 
	USHORT AttributeOffset; //第一个属性的偏移 
	USHORT Flags;       // 0x0001 = InUse, 0x0002 = Directory 
	ULONG BytesInUse;  //记录头和属性的总长度，即文件记录的实际长度文件,即记录在磁盘上实际占用的字节空间。 
	ULONG BytesAllocated; //总共分配给记录的长度 
	ULONGLONG BaseFileRecord; //基本文件记录中的文件索引号， 
	//对于基本文件记录，其值为0，如果不为0，则是一个主文件表的文件索引号， 
	//指向所属的基本文件记录中的文件记录号， 
	//在基本文件记录中包含有扩展文件记录的信息，存储在“属性列表ATTRIBUTE_LIST”属性中。 
	USHORT NextAttributeNumber; //下一属性ID 
} FILE_RECORD_HEADER, *PFILE_RECORD_HEADER;


//文件记录中按属性非降序（因为有时连续多个相同的属性）排列， 
//属性的值即为 字节流 
typedef enum { 
	//诸如只读、存档等文件属性； 
	//时间戳：文件创建时、最后一次修改时； 
	//多少目录指向该文件（硬链接计数hard link count） 
	AttributeStandardInformation = 0x10, //Resident_Attributes 常驻属性

	//????????????????????????????????? 
	//当一个文件要求多个MFT文件记录时 会有该属性 
	//属性列表，包括构成该文件的这些属性，以及每个属性所在的MFT文件记录的文件引用 
	//????????????????????????????????? 
	AttributeAttributeList = 0x20,//由于属性值可能会增长，可能是非驻留属性

	//文件名属性可以有多个： 
	//1.长文件名自动为其短文件名(以便MS-DOS和16位程序访问) 
	//2.当该文件存在硬链接时 
	AttributeFileName = 0x30, //常驻

	//一个文件或目录的64字节标识符，其中低16字节对于该卷来说是唯一的 
	//链接-跟踪服务将对象ID分配给外壳快捷方式和OLE链接源文件。 
	//NTFS提供了相应的API，因为文件和目录可以通过其对象ID，而不是通过其文件名打开 
	AttributeObjectId = 0x40, //常驻

	//为与NTFS以前版本保持向后兼容 
	//所有具有相同安全描述符的文件或目录共享同样的安全描述 
	//以前版本的NTFS将私有的安全描述符信息与每个文件和目录存储在一起 
	AttributeSecurityDescriptor = 0x50,//出现于$Secure元数据文件中

	//保存了该卷的版本和label信息 
	AttributeVolumeName = 0x60, //仅出现于$Volume元数据文件中 
	AttributeVolumeInformation = 0x70,//仅出现于$Volume元数据文件中

	//文件内容，一个文件仅有一个未命名的数据属性，但可有额外多个命名数据属性 
	//即一个文件可以有多个数据流，目录没有默认的数据属性，但可有多个可选的命名的数据属性 
	AttributeData = 0x80,//由于属性值可能会增长，可能是非驻留属性

	//以下三个用于实现大目录的文件名分配和位图索引 
	AttributeIndexRoot = 0x90,//常驻 
	AttributeIndexAllocation = 0xA0, 
	AttributeBitmap = 0xB0,

	//存储了一个文件的重解析点数据，NTFS的交接(junction)和挂载点包含此属性 
	AttributeReparsePoint = 0xC0,

	//以下两个为扩展属性，现已不再被主动使用，之所以提供是为与OS/2程序保持向后兼容 
	AttributeEAInformation = 0xD0, 
	AttributeEA = 0xE0,

	AttributePropertySet = 0xF0, 
	AttributeLoggedUtilityStream = 0x100, 
	AttributeEnd=0xFFFFFFFF 
} ATTRIBUTE_TYPE, *PATTRIBUTE_TYPE;

typedef struct { 
	ATTRIBUTE_TYPE AttributeType; 
	ULONG Length; //本属性长度（包含属性值） 
	BOOLEAN Nonresident; //本属性不是 驻留 属性么？ 
	UCHAR NameLength; //属性名的名称长度 
	USHORT NameOffset;//属性名偏移 
	USHORT Flags; // 0x0001 压缩 0x4000 加密 0x8000稀疏文件 
	USHORT AttributeNumber; 
} ATTRIBUTE, *PATTRIBUTE;

typedef struct { 
	ATTRIBUTE Attribute; 
	ULONG ValueLength; //属性值长度 
	USHORT ValueOffset; //属性值偏移 
	USHORT Flags; // 索引标志 0x0001 = Indexed 
} RESIDENT_ATTRIBUTE, *PRESIDENT_ATTRIBUTE;

typedef struct { 
	ATTRIBUTE Attribute; 
	ULONGLONG LowVcn; 
	ULONGLONG HighVcn; 
	USHORT RunArrayOffset; 
	UCHAR CompressionUnit; 
	UCHAR AlignmentOrReserved[5]; 
	ULONGLONG AllocatedSize; 
	ULONGLONG DataSize; 
	ULONGLONG InitializedSize; 
	ULONGLONG CompressedSize;    // Only when compressed 
} NONRESIDENT_ATTRIBUTE, *PNONRESIDENT_ATTRIBUTE;

typedef struct { //文件名属性的值区域 
	ULONGLONG DirectoryFileReferenceNumber; //父目录的FRN 
	ULONGLONG CreationTime; 
	ULONGLONG ChangeTime; 
	ULONGLONG LastWriteTime; // 最后一次MFT更新时间 
	ULONGLONG LastAccessTime; 
	ULONGLONG AllocatedSize; // 未明 
	ULONGLONG DataSize; // 偶尔与文件大小GetFileSize不同 
	ULONG FileAttributes; 
	ULONG AlignmentOrReserved; 
	UCHAR NameLength; 
	UCHAR NameType; //POSIX 0x0  WIN32 0x01  DOS 0x02  WIN32&DOS 0x3 
	WCHAR Name[1]; 
} FILENAME_ATTRIBUTE, *PFILENAME_ATTRIBUTE;

typedef struct { 
	ATTRIBUTE_TYPE AttributeType;   //属性类型 
	USHORT Length;                  //本记录长度 
	UCHAR NameLength;               //属性名长度 
	UCHAR NameOffset;               //属性名偏移 
	ULONGLONG LowVcn;               //起始VCN 
	ULONGLONG FileReferenceNumber;  //属性的文件参考号 
	USHORT AttributeNumber;         //标识 
	WCHAR Name[1]; 
} ATTRIBUTE_LIST, *PATTRIBUTE_LIST;

#pragma pack(push,1) 
typedef struct { //512B 
	UCHAR Jump[3];//跳过3个字节 
	UCHAR Format[8]; //‘N’'T' 'F' 'S' 0x20 0x20 0x20 0x20 
	USHORT BytesPerSector;//每扇区有多少字节 一般为512B 0x200 
	UCHAR SectorsPerCluster;//每簇有多少个扇区 
	USHORT BootSectors;// 
	UCHAR Mbz1;//保留0 
	USHORT Mbz2;//保留0 
	USHORT Reserved1;//保留0 
	UCHAR MediaType;//介质描述符，硬盘为0xf8 
	USHORT Mbz3;//总为0 
	USHORT SectorsPerTrack;//每道扇区数，一般为0x3f 
	USHORT NumberOfHeads;//磁头数 
	ULONG PartitionOffset;//该分区的便宜（即该分区前的隐含扇区数 一般为磁道扇区数0x3f 63） 
	ULONG Reserved2[2]; 
	ULONGLONG TotalSectors;//该分区总扇区数 
	ULONGLONG MftStartLcn;//MFT表的起始簇号LCN 
	ULONGLONG Mft2StartLcn;//MFT备份表的起始簇号LCN 
	ULONG ClustersPerFileRecord;//每个MFT记录包含几个簇  记录的字节不一定为：ClustersPerFileRecord*SectorsPerCluster*BytesPerSector
	ULONG ClustersPerIndexBlock;//每个索引块的簇数 
	ULONGLONG VolumeSerialNumber;//卷序列号 
	UCHAR Code[0x1AE]; 
	USHORT BootSignature; 
} BOOT_BLOCK, *PBOOT_BLOCK; 
#pragma pack(pop)