BlackBasta首先通過 FindFirstVolumeW 與 FindNextVolumeW 實(shí)現(xiàn)系統(tǒng)中第一個(gè)卷的搜索和其余卷的遍歷，之后通過 GetVolumePathNamesForVolumeNameW 檢索指定卷的驅(qū)動(dòng)器號(hào)和掛載的文件夾路徑列表，然后通過 GetVolumeInformationW 獲取關(guān)于指定卷的信息，具體代碼如下所示。

• FindFirstVolumeW vs. FindNextVolumeW：FindFirstVolumeW函數(shù)是Windows API中的一個(gè)函數(shù)，用于搜索計(jì)算機(jī)上的第一個(gè)卷的相關(guān)信息。它會(huì)打開一個(gè)卷搜索句柄，并返回與第一個(gè)找到的卷相關(guān)的信息。這個(gè)函數(shù)通常與FindNextVolume函數(shù)一起使用，后者用于搜索其他的卷。通過使用FindFirstVolumeW函數(shù)，我們可以枚舉計(jì)算機(jī)上的所有卷，獲取它們的名稱以及其他屬性信息。
• GetVolumePathNamesForVolumeNameW：該函數(shù)用于檢索指定卷的驅(qū)動(dòng)器號(hào)和掛載的文件夾路徑列表。它的功能是通過傳入卷名，獲取該卷對(duì)應(yīng)的驅(qū)動(dòng)器號(hào)以及掛載點(diǎn)的路徑列表。這個(gè)函數(shù)的返回值是一個(gè)布爾類型，指示操作是否成功。當(dāng)函數(shù)成功執(zhí)行后，它會(huì)通過傳入的緩沖區(qū)指針，返回驅(qū)動(dòng)器號(hào)和掛載點(diǎn)路徑的列表。返回的路徑列表是以Null字符('\0')作為分隔符的字符串?dāng)?shù)組，以表示列表的結(jié)束。
• GetVolumeInformationW：該函數(shù)的作用是獲取關(guān)于指定卷的信息。這個(gè)Windows API函數(shù)可以用于檢索指定卷的文件系統(tǒng)、卷標(biāo)、序列號(hào)、每個(gè)簇的字節(jié)數(shù)、總簇?cái)?shù)、可用簇?cái)?shù)等信息。通過調(diào)用GetVolumeInformationW函數(shù)，可以讓程序獲取有關(guān)特定卷的重要信息，這在文件系統(tǒng)管理和數(shù)據(jù)操作中非常有用。

_DWO