BlackBasta首先通過 FindFirstVolumeW 與 FindNextVolumeW 實現(xiàn)系統(tǒng)中第一個卷的搜索和其余卷的遍歷，之后通過 GetVolumePathNamesForVolumeNameW 檢索指定卷的驅(qū)動器號和掛載的文件夾路徑列表，然后通過 GetVolumeInformationW 獲取關(guān)于指定卷的信息，具體代碼如下所示。

• FindFirstVolumeW vs. FindNextVolumeW：FindFirstVolumeW函數(shù)是Windows API中的一個函數(shù)，用于搜索計算機上的第一個卷的相關(guān)信息。它會打開一個卷搜索句柄，并返回與第一個找到的卷相關(guān)的信息。這個函數(shù)通常與FindNextVolume函數(shù)一起使用，后者用于搜索其他的卷。通過使用FindFirstVolumeW函數(shù)，我們可以枚舉計算機上的所有卷，獲取它們的名稱以及其他屬性信息。
• GetVolumePathNamesForVolumeNameW：該函數(shù)用于檢索指定卷的驅(qū)動器號和掛載的文件夾路徑列表。它的功能是通過傳入卷名，獲取該卷對應(yīng)的驅(qū)動器號以及掛載點的路徑列表。這個函數(shù)的返回值是一個布爾類型，指示操作是否成功。當(dāng)函數(shù)成功執(zhí)行后，它會通過傳入的緩沖區(qū)指針，返回驅(qū)動器號和掛載點路徑的列表。返回的路徑列表是以Null字符('\0')作為分隔符的字符串?dāng)?shù)組，以表示列表的結(jié)束。
• GetVolumeInformationW：該函數(shù)的作用是獲取關(guān)于指定卷的信息。這個Windows API函數(shù)可以用于檢索指定卷的文件系統(tǒng)、卷標(biāo)、序列號、每個簇的字節(jié)數(shù)、總簇數(shù)、可用簇數(shù)等信息。通過調(diào)用GetVolumeInformationW函數(shù)，可以讓程序獲取有關(guān)特定卷的重要信息，這在文件系統(tǒng)管理和數(shù)據(jù)操作中非常有用。

_DWO