如何在Windows文件系统中显示已删除文件列表

Question

我想知道在Windows文件系统上（无论是FAT还是NTFS），是否可以编译出一个已删除文件的列表。我并不需要真正恢复这些文件，只想知道它们的名字和其他一些可获取的时间信息（比如删除时间、创建时间等）。

即使我可以通过命令行工具来实现这个功能，那也是可以接受的。

这个应用程序是用Python开发的，不过如果其他语言也能做到这点，我也可以用那种语言写一个小组件。

谢谢。

Answer 1

这个任务非常复杂。我建议你看看一些开源的取证工具。你还应该分析一下回收站里的内容（也就是那些没有完全删除的文件）。

对于FAT文件系统，你无法获取已删除文件的第一个字符。对于某些已删除的文件，相关的信息可能也会消失。

NTFS文件系统要复杂得多，处理起来也更耗时间，因为它的结构更复杂。