Поиск удаленных файлов в NTFS

#include "stdafx.h"
#include <iostream>
#include <Windows.h>
#include <winioctl.h>
#include <string>
#include <sstream>
 
 
using namespace std;
 
#define NRH_FILE_TYPE  0x454C4946
#define ATTRIBUTE_TYPE_DATA 0x80
#define ATTRIBUTE_TYPE_SI 0x10
#define ATTRIBUTE_TYPE_FN 0x30
#define ATTRIBUTE_TYPE_END 0xFFFFFFFF
 
 
typedef enum {
    AttributeStandardInformation = 0x10,
    AttributeAttributeList = 0x20,
    AttributeFileName = 0x30,
    AttributeObjectId = 0x40,
    AttributeSecurityDescriptor = 0x50,
    AttributeVolumeName = 0x60,
    AttributeVolumeInformation = 0x70,
    AttributeData = 0x80,
    AttributeIndexRoot = 0x90,
    AttributeIndexAllocation = 0xA0,
    AttributeBitmap = 0xB0,
    AttributeReparsePoint = 0xC0,
    AttributeEAInformation = 0xD0,
    AttributeEA = 0xE0,
    AttributePropertySet = 0xF0,
    AttributeLoggedUtilityStream = 0x100
} attr_types, *pattr_types;
 
typedef struct
{/*0x00*/   attr_types type; //тип атрибута
/*0x04*/    unsigned __int16 length; //длина заголовка; используется для перехода к //следующему   атрибуту
/*0x06*/    unsigned __int16 reserved;
/*0x08*/    unsigned char non_resident; //1 если атрибут нерезидентный, 0 - резидентный
/*0x09*/    unsigned char name_length; //длина имени атрибута, в символах
/*0x0A*/    unsigned __int16 name_offset; //смещение имени атрибута, относительно заголовка 
                                          //атрибута
/*0x0C*/    unsigned __int16 flags; //флаги, перечислены в ATTR_FLAGS
/*0x0E*/    unsigned __int16 instance;
 
union
{
    //Резидентный атрибут
    struct
    {
        /*0x10*/    unsigned __int32 value_length; //размер, в байтах, тела атрибута
        /*0x14*/    unsigned char value_offset; //байтовое смещение тела, относительно заголовка атрибута
        /*0x15*/    unsigned char resident_flags; //флаги, перечислены в RESIDENT_ATTR_FLAGS
        /*0x17*/    unsigned char reserved;
    } resident;
    //Нерезидентный атрибут
    struct
    {
        /*0x10*/    unsigned __int64 lowest_vcn; //стартовый сектор для списка серий
        /*0x18*/    unsigned __int64 highest_vcn; //конечный сектор для списка серий
        /*0x20*/    unsigned __int16 mapping_pairs_offset;//смещение списка отрезков 
        /*0x22*/    unsigned char compression_unit;
        /*0x23*/    unsigned char reserved1[5];
        /*0x28*/    unsigned __int64 allocated_size; //размер дискового пространства, 
                                                     //которое было выделено под тело
                                                     //атрибута
        /*0x30*/    unsigned __int64 data_size; //реальный размер атрибута
        /*0x38*/    unsigned __int64 initialized_size;
    } nonresident;
}u;
} NTFS_ATTR_RECORD, *PNTFS_ATTR_RECORD;
 
typedef struct 
{
    /*0x00*/ unsigned __int64   file_reference; /*базовый адрес родительского каталога*/
    /*0x08*/ unsigned __int64   file_creation_time; /*время создание файла*/
    /*0x10*/ unsigned __int64   file_altered_time; /*время модификации файла*/
    /*0х18*/ unsigned __int64  file_mft_change_time; /*время модификации MFT*/
    /*0x20*/ unsigned __int64   file_read_time; /*время обращения в файлу*/
    /*0x28*/ unsigned __int64   file_size; /*выделенный размер файла*/
    /*0x30*/ unsigned __int64   file_real_size; /*реальный размер файла*/
    /*0x38*/ unsigned __int32   file_flags; /*флаги: директория, сжатый файл и т.д*/
    /*0x3с*/ unsigned __int32  file_mount_points; /*точки подключения*/
    /*0x40*/ unsigned __int8        file_name_in_chars; /*длина имени*/
    /*0x41*/ unsigned __int8        file_name_namespace; /*пространство имен имени*/
    /*0x42*/ char               file_name[64]; /*имя*/
} NTFS_ATTR_FILE_INFO, *PNTFS_ATTR_FILE_INFO;
 
typedef struct {
    ULONG Type;
    USHORT UsaOffset;
    USHORT UsaCount;
    USN Usn;
} NTFS_RECORD_HEADER, *PNTFS_RECORD_HEADER;
 
typedef struct {
    NTFS_RECORD_HEADER Ntfs;
    USHORT SequenceNumber;
    USHORT LinkCount;
    USHORT AttributesOffset;
    unsigned __int16 Flags; // 0x0001 = Используется, 0x0002 = Каталог, 0x0000 = Не используется
    ULONG BytesInUse;
    ULONG BytesAllocated;
    ULONGLONG BaseFileRecord;
    USHORT NextAttributeNumber;
} FILE_RECORD_HEADER, *PFILE_RECORD_HEADER;
 
typedef struct {
    ULONGLONG CreationTime;
    ULONGLONG ChangeTime;
    ULONGLONG LastWriteTime;
    ULONGLONG LastAccessTime;
    ULONG FileAttributes;
    ULONG AlignmentOrReservedOrUnknown[3];
    ULONG QuotaId; // Только на NTFS 3.0
    ULONG SecurityId; // Только на NTFS 3.0
    ULONGLONG QuotaCharge; // Только на NTFS 3.0
    USN Usn; // Только на NTFS 3.0
} STANDARD_INFORMATION, *PSTANDARD_INFORMATION;
 
LONGLONG NTFS_GET_MTF_ENTRIES_COUNT(NTFS_VOLUME_DATA_BUFFER nvdb)
{
    return nvdb.MftValidDataLength.QuadPart / nvdb.BytesPerFileRecordSegment;
}
 
PNTFS_FILE_RECORD_OUTPUT_BUFFER NTFS_GET_MFT_ENTRY_AT(int number, NTFS_VOLUME_DATA_BUFFER nvdb, HANDLE hDrive)
{
    
    DWORD junk;
    NTFS_FILE_RECORD_INPUT_BUFFER ntfs_unput;
    LARGE_INTEGER lnumber;
    lnumber.QuadPart = number;
    ntfs_unput.FileReferenceNumber = lnumber;
    PNTFS_FILE_RECORD_OUTPUT_BUFFER nrb =
        (PNTFS_FILE_RECORD_OUTPUT_BUFFER)malloc(FIELD_OFFSET(NTFS_FILE_RECORD_OUTPUT_BUFFER, FileRecordBuffer)
            + nvdb.BytesPerFileRecordSegment);
    BOOL mft_entry = DeviceIoControl(hDrive, FSCTL_GET_NTFS_FILE_RECORD,
        &ntfs_unput, sizeof(ntfs_unput), nrb,
        sizeof(NTFS_FILE_RECORD_OUTPUT_BUFFER) + nvdb.BytesPerFileRecordSegment,
        &junk, NULL);
    return nrb;
}
 
wstring get_filename(PNTFS_ATTR_FILE_INFO file)
{
    wstringstream wss;
    wstring result;
    for (size_t i = 0; i < 2 * file->file_name_in_chars; i++)
    {
        wss << file->file_name[i];
    }
    wss >> result;
    return result;
}
 
int main()
{
    setlocale(LC_ALL, "Russian");
    HANDLE hDrive = CreateFile(L"\\\\.\\H:", GENERIC_READ,
        FILE_SHARE_READ, 0,
        OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, 0);
    if (INVALID_HANDLE_VALUE == hDrive)
    {
        cout << hDrive << endl;
        cout << "Invalid Handle To Volume" << endl;
    }
    DWORD junk;
    NTFS_VOLUME_DATA_BUFFER ntfs_volume_data;
    BOOL bResult = DeviceIoControl((HANDLE)hDrive, FSCTL_GET_NTFS_VOLUME_DATA
        , NULL, 0,
        &ntfs_volume_data,
        sizeof(NTFS_VOLUME_DATA_BUFFER),
        &junk,
        (LPOVERLAPPED)NULL);
    LONGLONG mft_entries_count = NTFS_GET_MTF_ENTRIES_COUNT(ntfs_volume_data);
    for (int i = 0; i < mft_entries_count; i++)
    {
        PNTFS_FILE_RECORD_OUTPUT_BUFFER mft_entry = NTFS_GET_MFT_ENTRY_AT(i, ntfs_volume_data, hDrive);
        PFILE_RECORD_HEADER pfileRecordheader = (PFILE_RECORD_HEADER)mft_entry->FileRecordBuffer;
        PNTFS_ATTR_RECORD attribute = (PNTFS_ATTR_RECORD)((ULONG_PTR)pfileRecordheader + pfileRecordheader->AttributesOffset);
        cout << "-----" << i << "-----" << endl;
        cout << "-----" << pfileRecordheader->Flags << "-----" << endl;
        
    }   
    return 0;
}

BOOL bResult = DeviceIoControl((HANDLE)hDrive, FSCTL_GET_NTFS_VOLUME_DATA
        , NULL, 0,
        &ntfs_volume_data,
        sizeof(NTFS_VOLUME_DATA_BUFFER),
        &junk,
        (LPOVERLAPPED)NULL);
    if (!bResult)
    {
        //обработка ошибки
    }