Everything search engineなるものを使っている。 パス名を高速に検索するツールで、UNIX系のupdatedb/locateのような感じ。 ただ、updatedbに比べてパス名データベースの作成が異様に早い。 ドキュメントにはFATなパーティションはさっさとNTFSにしろ、とか書いてある。 どうやらNTFSのメタデータを直接読んでいるみたいだ。MFTに直アクセス。 さらにファイルシステムの逐次変化に対してはジャーナルを読んで追随しているみたい。 DeviceIoControlとか使いまくりなんだろうか。SysinternalsのProcess Monitorで確認してみると 確かにそのようなシステムコールを連発している。ためしにGuestアカウントで動かしてみたら 「Failed to open volume \\.\C: for reading」と表示されて動かなか