有关NTFS Change Journal USN记录的问题

Question

这可能是一个有点愚蠢的问题，但我无法在任何地方找到答案。 有没有办法找出变更日志中的最后一条记录是什么？

当我们第一次运行FSTCL查询时，枚举所有记录所需的时间太长。有没有一种简单的方法可以找到它？

Answer 1

FSCTL_QUERY_USN_JOURNAL返回将用于下一条记录的USN（NextUsn）。最后一条记录通常是NextUsn减1.为了安全起见，您可以使用带有USN过滤的FSCTL_ENUM_USN_DATA来查找NextUsn减去1，如果它不存在，则查找NextUsn减去2，然后减去4，等等。