SetFilePointerEx API读取MFT

Question

我想从分区上的 MFT 偏移量读取一些字节。我获得分区句柄并成功读取前 1K 字节，但 SetFilePointerEx 返回错误。请帮我解决一下。

int nread = 0;
IntPtr handle = IntPtr.Zero;
byte[] buff = new byte[1024];
IntPtr newaddress = IntPtr.Zero;
long MFTAddress = bytepersector * sectorpercluster * (long)MFTStart;
string driveRoot = "\\\\.\\c:";

IntPtr hRoot = CreateFile(driveRoot,
    GENERIC_READ | GENERIC_WRITE,
    FILE_SHARE_READ | FILE_SHARE_WRITE,
    IntPtr.Zero,
    OPEN_EXISTING,
    FILE_ATTRIBUTE_NORMAL,
    IntPtr.Zero);

SetFilePointerEx(hRoot, MFTAddress, ref newaddress, 0);

int error = GetLastError();
if (hRoot != IntPtr.Zero)
    handle = ReadFile(newaddress, buff, 1024,ref nread, new System.Threading.NativeOverlapped());

---

这是找到 MFTOffset 和其他信息的代码。

            uint nread = 0;
        IntPtr handle;
        byte[] buff = new byte[1024];
        string driveRoot = string.Concat("\\\\.\\", driveLetter);
        IntPtr hRoot = CreateFile(driveRoot,
            GENERIC_READ | GENERIC_WRITE,
            FILE_SHARE_READ | FILE_SHARE_WRITE,
            IntPtr.Zero,
            OPEN_EXISTING,
            FILE_ATTRIBUTE_NORMAL,
            IntPtr.Zero);
        if (hRoot != IntPtr.Zero)
             ReadFile(hRoot, buff, 1024,out nread, IntPtr.Zero);
        string SystemFile = Convert.ToString(LittleEndian(4, new byte[] { buff[3], buff[4], buff[5], buff[6] }, typeof(string)));
        int BytePerSector = 0;
        int SectorPerCluster = 0;
        double MFTStart = 0;
        if (SystemFile == "NTFS")
        {
            listBox1.Items.Add(SystemFile);

            BytePerSector = (int)LittleEndian(2, new byte[] { buff[11], buff[12] }, BytePerSector.GetType());
            listBox1.Items.Add("Byte per Sector : " + BytePerSector);

            SectorPerCluster = (int)LittleEndian(1, new byte[] { buff[13] }, typeof(int));
            listBox1.Items.Add("Sector per Cluster : " + SectorPerCluster.ToString());

            MFTStart = (long)LittleEndian(8, new byte[]{
                buff[48],buff[49],buff[50],buff[51],buff[52],buff[53],buff[54],buff[55]}, typeof(long));
            listBox1.Items.Add("MFT LCN : " + MFTStart);

        }
        else
            listBox1.Items.Add("No NTFS Valoume");

我想读取 MFT。我发现它在分区上的偏移量。我使用 CreateFile API 获取了分区句柄，然后我使用 ReadFile API 从 MBR 获取了 MFT 偏移量。我将结果与 WinHex 进行了比较，结果是正确的。现在我想移动到分区上的 mft 地址。我发现 SetFilePointer API 可以做到这一点。 我使用 SetFilePointer 但在使用 ReadFile(newAddress) 时出现错误

public static void ReadMFT(string DriveLetter, ulong MFTStart, int bytepersector, int sectorpercluster)
    {
        IntPtr handle = IntPtr.Zero;
        IntPtr newaddress = IntPtr.Zero;
        long MFTAddress = bytepersector * sectorpercluster * (long)MFTStart;
        string driveRoot = string.Concat("\\\\.\\", DriveLetter);
        IntPtr hRoot = CreateFile(driveRoot,
            GENERIC_READ | GENERIC_WRITE,
            FILE_SHARE_READ | FILE_SHARE_WRITE,
            IntPtr.Zero,
            OPEN_EXISTING,
            FILE_ATTRIBUTE_NORMAL,
            IntPtr.Zero);

        **newaddress = SetFilePointer(hRoot, (ulong)MFTAddress, IntPtr.Zero, 0);**
        Console.WriteLine("hroot : " + hRoot.ToString());
        Console.WriteLine("MFTAddress : " + MFTAddress.ToString());
        Console.WriteLine("NewAddress : " + newaddress.ToString());
        if (hRoot.ToInt64() != INVALID_HANDLE_VALUE)
        {
            uint nread;
            byte[] buff = new byte[1024];
            if (**ReadFile(newaddress, buff, (uint)buff.Length, out nread, IntPtr.Zero)**)
                Console.WriteLine("Read successful");
            else
                Console.WriteLine("Read unsuccessful");

        }
        while (true)
        {
            //read other MFT Record
            break;
        }
    }

Answer 1

我可以看到以下错误：

• 您没有检查 CreateFile 的返回值是否成功。
• 您向 ReadFile 的第一个参数传递了错误的内容。您需要将句柄传递给文件。
• 您使用了您不想要的重叠 I/O，并且该 I/O 无法与编组的 byte[] 缓冲区一起使用。传递 IntPtr.Zero 为 lpOverlapped 或 null，具体取决于 P/invoke 的声明方式。
• ReadFile 不返回句柄，它返回一个表示函数调用成功的布尔值。
• 您绝不能从托管代码中调用 GetLastError。而是调用 Marshal.GetLastWin32Error。 文档中解释了原因对于该方法。
• 除非先前的 API 调用实际上失败，否则请勿调用 Marshal.GetLastWin32Error。您没有检查是否 SetFilePointerEx 成功。就像ReadFile一样，它返回一个布尔值来指示成功或失败。

Answer 2

根据文档 （物理磁盘和卷部分），如果要访问分区表，则必须使用 DeviceIoControl< /a>.从 Windows Vista 开始，限制和要求适用。

从文档链接的示例： 调用DeviceIoControl。