LogFileParser 项目教程

1. 项目目录结构及介绍

LogFileParser 项目的目录结构如下：

LogFileParser/
├── import-sql/
│   └── ...
├── LICENSE.md
├── LogFile-UpdateFilename-I30-schema.sql
├── LogFileParser.au3
├── LogFile_INDX_I30-schema.sql
├── SampleTinyNtfsVolume.zip
├── SecureConstants.au3
├── changelog.txt
├── logfile-schema.sql
├── readme-logfile-mysql.txt
├── readme-DataRunsResolved.txt
├── readme.txt
└── ...

目录结构介绍

• import-sql/: 包含用于导入 SQL 的脚本。
• LICENSE.md: 项目的许可证文件，采用 MIT 许可证。
• LogFile-UpdateFilename-I30-schema.sql: 用于更新文件名的 SQL 脚本。
• LogFileParser.au3: 项目的主脚本文件，用于解析 NTFS 的 $LogFile。
• LogFile_INDX_I30-schema.sql: 用于解析 NTFS 索引记录的 SQL 脚本。
• SampleTinyNtfsVolume.zip: 包含一个小的 NTFS 卷样本，用于测试和演示。
• SecureConstants.au3: 包含安全相关的常量定义。
• changelog.txt: 项目的更新日志，记录了每次更新的详细信息。
• logfile-schema.sql: 用于解析 $LogFile 的 SQL 脚本。
• readme-logfile-mysql.txt: 关于如何将解析结果导入 MySQL 数据库的说明。
• readme-DataRunsResolved.txt: 关于解析数据运行（Data Runs）的说明。
• readme.txt: 项目的 README 文件，包含项目的概述和使用说明。

2. 项目启动文件介绍

项目的启动文件是 LogFileParser.au3。该文件是 AutoIt 脚本，用于解析 NTFS 文件系统中的 $LogFile。启动文件的主要功能包括：

• 解析 $LogFile 中的事务记录。
• 解码 NTFS 属性变化。
• 重建数据运行（Data Runs）信息。
• 生成详细的日志输出，并导入到 SQLite 数据库中。

启动文件的使用方法

1. 下载并安装 AutoIt 解释器。
2. 将 LogFileParser.au3 文件放置在合适的位置。
3. 使用 AutoIt 解释器运行 LogFileParser.au3 文件。

3. 项目的配置文件介绍

项目中没有明确的配置文件，但可以通过命令行参数或脚本中的变量来配置解析行为。主要的配置选项包括：

• MFT 记录大小: 可以选择 1024 或 4096 字节。
• 时间戳格式: 可以选择不同的格式和精度。
• 输出分隔符: 可以配置 CSV 文件的分隔符。
• Unicode 或 ANSI 输出: 可以选择输出格式。

配置示例

在 LogFileParser.au3 脚本中，可以通过修改以下变量来配置解析行为：

; 配置 MFT 记录大小
$MFT_RECORD_SIZE = 1024

; 配置时间戳格式
$TIMESTAMP_FORMAT = "YYYY-MM-DD HH:mm:ss"

; 配置输出分隔符
$OUTPUT_SEPARATOR = ","

; 配置输出格式
$OUTPUT_FORMAT = "Unicode"

通过这些配置，可以灵活地调整 LogFileParser 的行为，以满足不同的需求。