windows - 更改 Windows 中 block 的日志(NTFS)

Question

我编写了一个备份工具，它能够为 Windows 备份文件和卷的图像。要检测哪些文件已更改，我使用 Windows 更改日志。我已经使用卷影复制功能对文件和卷镜像进行一致的复制。

为了检测哪些 block 发生了变化，我现在使用哈希。这意味着整个卷必须被读取一次(因为必须计算所有 block 的哈希值是哪个 block 发生了变化)。集成到 Windows 7 中的备份能够创建增量卷镜像，而无需检查所有 block 。我找不到一种用于 block 级更改日志的 API。

有人知道如何访问这些信息吗？(我愿意深入研究 NTFS 内部结构——甚至读取和解析特殊文件)

Answer 1

我认为在任何地方都无法获得 block 级更改信息。很可能 Windows 7 集成备份的作用是安装 File System Filter Driver就像一些备份产品和防病毒软件一样。过滤器驱动程序可以拦截所有文件系统调用，并通过这种方式知道哪些 block 已更改。如果您这样做，您基本上可以构建自己的更改日志，该日志在 block 级别工作，但仅适用于您感兴趣的文件。

我真的很想在这里知道一个更好的答案。