从 NTFS 映像中提取 $bitmap 文件
有谁知道有什么软件可以从 NTFS 图像中提取 $bitmap 文件吗？
或者有人知道有哪个网站提供了足够的 NTFS 文档，以便我可以自己编写代码吗？
（我想读取 $bitmap 这样我就可以识别哪些簇没有使用，这样就可以将它们从图像中删除。）
Does anyone know of any software that can extract the $bitmap file from NTFS images?
Or does anyone know of any site that documents NTFS enough so that I can code this myself?
(I want to read the $bitmap so I can identify what clusters are not in use, so they can be removed from the images.)
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（3）
在这份早期出版物中，有一个才华横溢的人的一小段：
http://www.alex-ionescu .com/NTFS.pdf
There's one short paragraph in this early publication by a talented person:
http://www.alex-ionescu.com/NTFS.pdf
我在另一个地方回答了这个问题，但在实时 Windows 计算机上，最好的答案可能是使用 FSCTL_GET_VOLUME_BITMAP。这将反映 FS 知道但不在磁盘上的任何更改。
I answered this one in a different place, but on a live Windows machine the best answer is probably to use FSCTL_GET_VOLUME_BITMAP. This will reflect any changes the FS knows about that aren't on the disk.
还有 Brian Carrier 的“取证文件系统”。它确实详细解释了 NTFS。
ntfs.org 也很有帮助。
由于
$Bitmap是系统文件，因此您无法打开并读取它。另请注意，如果磁盘正在使用中，它可能会发生变化。There is also "Forensic File Systems" by Brian Carrier. It does explain NTFS in detail.
ntfs.org also is helpful.
Since
$Bitmapis a system file, you can't open it up and read it. Also beware that if the disk is in use, it can change.