Мне интересно, как программы восстановления открывают таблицу основных файлов. Как они делают API-звонки?
Нет вызовов API для чтения MFT. Но вы можете найти кластер, в котором хранится Mft, и прочитать его содержимое, пройдя по диску.