尝试从python3获取MFT表

Question

我试图从python本地磁盘读取MFT表。当然，如果我写这样的东西：

input_file = open('C:\$MFT', "rb")

我会得到

[ Errno 13] Permission denied: 'C:\$MFT'

我试着用pyMFTGrabber，但没用，我得到了很多”套接字.错误". 在

使用Python阅读这个文件的最好和简单的方法是什么？
可能是一些WinAPI，或者其他什么？ 读完后，我想用"analyzeMFT"来分析它

Answer 1

使用python是相当痛苦的，因为它并不完全是低级的。在

我想你应该从这个开始：

L“\\？\C： \$MFT“号 是在MS的VC++API中为创建MFT句柄而需要使用的命名空间。在

您应该考虑查看您提到的grabber的源代码pyMFTGrabber并向下滚动到底部，它将显示作者如何访问该文件（它看起来很准确-读取扇区，而不是尝试直接访问$MFT，而且它的注释也很好）。如果您阅读了项目的详细信息，它会说这是一个“从活动系统中检索NTFS文件系统的主文件表（MFT）记录的脚本。”

Answer 2

与此同时，其他选项也出现了：有一个库来分析来自名为analyzeMFT的NTFS文件系统的主文件表（$MFT）。在

analyzeMFT.py is designed to fully parse the MFT file from an NTFS filesystem and present the results as accurately as possible in multiple formats.

要获取它，请使用pip （当前版本2.0.19）或从GitHub上找到的源安装它

pip install analyzeMFT