python解释NTFS runlist的代码—转自数据恢复工程师博客

执行效果如下：
root@zhangyu-VirtualBox:~/NTFS-5# python3 read_runlist.py mft_source.img
  ***参数数量或格式错误!
  命令格式:
  python3 read_runlist.py :
      File name:要解释的包含runlist的文件名称
      Start bytes:文件中要解释runlist的起始位置
      Start LCN:runlist开始的参考LCN值，如果是一段完整的runlist，这个值应为0.
      Start VCN:runlist开始的参考VCN值，如果是一段没有0x20的runlist，这个值多数为0.
      *返回值：一个二维队列，打印结果。


root@zhangyu-VirtualBox:~/NTFS-5# python3 read_runlist.py mft_source.img 5688 0 0
Runlist(共18个片断):
                 VCN                 LCN                 LEN
                   0               32212                   1
                   1              157952                   2
                   3              207115                   3
                   6              244046                   3
                   9              122523                   1
                  10              157991                   1
                  11              170296                   3
                  14               40552                   5
                  19              149853                   2
                  21              122721                   2
                  23              141674                   1
                  24              145783                   3
                  27              158109                   3
                  30              145820                   1
                  31              240236                   1
                  32              154081                   1
                  33              166379                   3
                  36              178711                   3

本文出自 “张宇(数据恢复)” 博客，请务必保留此出处http://zhangyu.blog.51cto.com/197148/1943606