python - 如何从 MFT 中提取文件大小

Question

我正在尝试提取主文件表(MFT)的内容。我已从 NTFS 卷复制 MFT 并将其另存为 .bin 文件。现在我尝试使用Python中提供的unpack函数来读取这个文件。我正在读取为存储在文件记录的文件名属性中的实际文件大小分配的 8 位，如下所示

d['real_fsize'] = struct.unpack("<d",s[48:56])[0]

我面临的问题是我得到的文件大小类似于 3.5e-323。 MFT 以字节为单位保存文件大小，但我得到的答案似乎很荒谬。那么有什么办法可以纠正它吗？

Answer 1

文件名属性不准确，无法正确显示文件大小。据我了解，在 Windows 资源管理器中查看文件时它会更新，因为文件名属性是文件夹 INDX block 的一部分。因此，当您导航以显示目录树中的内容时，比重新解析文件记录以查找其大小更容易。文件名属性结构中还有其他大小，指的是属性名称和实际文件名大小。

文件的准确大小由 DATA 属性(类型 0x80)给出，并且一个文件可能具有多个数据属性。未命名的DATA属性是文件的主要内容。