CN102609531B - 一种根据关键字反查文件的方法 - Google Patents

Abstract

本发明公开了一种根据关键字反查文件的方法，包括：A)通过对磁盘扇区的搜索，查找所需文件的关键字；B)根据已查找关键字所在的磁盘扇区，查找与所述关键字关联的所需文件的根目录；C)利用所述根目录，恢复所需文件。本发明能够快速在计算机磁盘上搜索到关键字所在的文件，包括磁盘上的现存文件及已删除文件，可应用于各种检索技术、电子信息取证和数据恢复等方面。

Description

一种根据关键字反查文件的方法

技术领域

本发明涉及计算机领域，尤其涉及一种利用关键字反向查找文件的技术。

背景技术

随着计算机技术和信息化技术的快速发展，计算机已经渗入到国民经济和社会的各个领域。其中，磁盘是计算机中用于存储数据的装置，是信息的载体，其上的数据能够反复改写。

在磁盘上，现有的文件存储都是基于文件系统的，所述文件系统是指操作系统用于明确磁盘上的文件的方法和数据结构，即在磁盘上组织文件的方法。进一步说，现有的文件或关键字的检索都是基于文件系统，操作系统只能通过文件系统对文件或关键字进行检索。

当前，计算机应用得到广泛普及，用户经常将大量重要的数据存储在计算的磁盘上，在诸如数据误删除或刻意删除、操作系统崩溃等情况下，尽管文件内容依然存储在磁盘上，操作系统仍无法通过文件系统检索到文件，给用户带来了极大的损失。

因此，如何切实有效的检索和/或恢复磁盘上存储的文件，尤其是已删除文件，成为亟待解决的技术问题。

发明内容

本发明的目的在于提供一种根据关键字反查文件的方法，能更好地解决文件检索和/或恢复问题，尤其是已删除文件。

本发明提供的一种根据关键字反查文件的方法，包括：

A)通过对磁盘扇区的搜索，查找所需文件的关键字；

B)根据已查找关键字所在的磁盘扇区，查找与所述关键字关联的所需文件的根目录；

C)利用所述根目录，恢复所需文件。

优选地，所述步骤B)包括：

B1)根据已查找关键字所在的磁盘扇区，得到所述磁盘扇区在文件系统中所属的组织单元；

B2)利用已得到的组织单元，得到其在文件系统中的上一个组织单元；

B3)重复所述步骤B2)，直至找到与所述关键字关联的所需文件在文件系统中的根目录。

优选地，所述步骤C)包括：在磁盘扇区上，当所需文件已部分覆盖时，利用所查找的根目录，恢复所需文件的未覆盖部分的文件数据。

优选地，所述步骤C)包括：在磁盘扇区上，当所需文件未被覆盖时，利用所查找的根目录，恢复所需文件的全部数据。

优选地，所述未被覆盖的所需文件包括未删除的文件。

优选地，所述未被覆盖的所需文件包括进入回收站的文件。

优选地，所述未被覆盖的所需文件包括执行回收站的清空处理后，文件数据所在的磁盘扇区未写入新数据的文件。

优选地，所述组织单元是具有多个扇区的簇在文件系统中的簇号，所述根目录是文件系统的根目录表。

优选地，所述文件系统是文件分配表FAT文件系统。

优选地，所述文件系统是新技术文件系统NTFS。

与现有技术相比较，本发明的有益效果在于：本发明利用关键字，能够有针对性的在计算机磁盘上快速搜索到关键字，从而对所述关键字关联的文件进行查找和/或不同程度的恢复。

附图说明

图1是本发明实施例提供的一种根据关键字反查文件的方法原理图；

图2是本发明实施例提供的一种根据关键字反查文件的方法流程图。

具体实施方式

以下结合附图对本发明的优选实施例进行详细说明，应当理解，以下所说明的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

磁盘是一种采用磁介质的数据存储设备，数据存储在硬盘驱动器内腔的若干个磁盘上，在磁盘的每一面上，以转动轴为轴心、以一定的磁密度为间隔的若干个同心圆就被划分成磁道，每个磁道又被划分为若干个扇区，所划分得到的多个扇区构成一个簇，文件以簇为单位存放在磁盘的扇区上。

文件在磁盘中的存储需要遵循文件系统的规则，而文件系统是按照一定的结构来组织的，例如FAT文件系统的组织是以链表的方式，从文件根目录表开始，按照文件分配表FAT的指引，文件被存储在一个一个的簇中。

常规操作删除文件的办法，并不能真正清除存储在扇区上的文件，以Windows操作系统为例，Windows操作系统删除文件的操作实际上是在文件系统的根目录中将被删文件的文件名称首字母修改为特殊字符，但被删文件的数据依然存储在磁盘上。因此，即使文件始终保存在磁盘上，但由于文件系统中关于被删文件的记录已经改变，Windows操作系统无法通过文件系统找到被删文件在磁盘上的存储数据。当有新文件需要保存在磁盘上时，被删除文件的簇就可能被新文件占用，从而覆盖被删除文件的相关数据，导致被删除文件的数据不能够完全恢复。

基于以上原理，本发明利用关键字，直接对磁盘进行关键字检索，并根据检索到的关键字反向查找该关键字所在的文件，所述文件可能是现存的，也可能是曾经存在的但现在已被删除的。

图1是本发明实施例提供的一种根据关键字反查文件的方法原理图，如图1所示，包括：

步骤S101、通过对磁盘扇区的搜索，查找所需文件的关键字。

步骤S102、根据已查找关键字所在的磁盘扇区，查找与所述关键字关联的所需文件的根目录。

首先，根据已查找关键字所在的磁盘扇区，得到所述磁盘扇区在文件系统中所属的组织单元；然后，利用已得到的组织单元，得到其在文件系统中的上一个组织单元；最后，继续向上查找再上一个的组织单元，直至找到与所述关键字关联的所需文件在文件系统中的根目录。

步骤S103、利用所述根目录，恢复所需文件。

进一步地，在磁盘扇区上，如果所需文件已部分覆盖，则可利用所查找的根目录，恢复所需文件的未覆盖部分的文件数据。如果所需文件未被覆盖，则可利用所查找的根目录，恢复所需文件的全部数据。上述未被覆盖的所需文件包括未删除的文件，或者进入回收站的文件，或者在执行回收站的清空处理后，文件数据所在的磁盘扇区未写入新数据的文件。也就是说，本发明能够恢复的文件包括所有可组织文件，即文件可以不同程度的重现，如以碎片或原始文件的方式，具体包括：

1、正常文件：通过文件浏览器可见(包括隐藏)的文件，包含已进入回收站但未进行回收站清空操作的文件，均可完整恢复。

2、已删除文件：主要指清空回收站操作之后的文件恢复。

a)对于文件的目录信息及文件的数据内容未被覆盖的已删除文件，可完整恢复。

b)对于文件的目录信息及文件的数据内容被部分覆盖的已删除文件，可视覆盖程度恢复文件碎片。

进一步地，上述组织单元是具有多个扇区的簇在文件系统中的簇号，所述根目录是文件系统的根目录表。

进一步地，上述文件系统可以是文件分配表FAT文件系统，也可以是新技术文件系统NTFS，或其它文件系统。

通过采用本发明的技术方案可以实现对计算机磁盘上曾经存在的文件进行关键字检索，并在一定程度上进行文件恢复，恢复后的文件可以在不同程度的重现，如碎片方式或原始文件的方式。

图2是本发明实施例提供的一种根据关键字反查文件的方法流程图，首先根据确定的关键字进行磁盘扇区级的搜索，也即从磁盘的第一个扇区开始，逐位(bit)扫描，检索关键字信息。一旦找到了关键字，根据文件系统组织方式以及关键字所在扇区，逐层回溯直至找到关键字所在文件的全部文件系统组织单元，进而恢复完整文件或者文件碎片。如图2所示，详细步骤包括：

步骤S201：确定现存文件或已删除文件中的关键字。

步骤S202：根据所确定的关键字，从磁盘的第一个扇区开始搜索所述关键字。

步骤S203：判断在该扇区中是否搜索到所述关键字，若搜索到所述关键字，则执行步骤S204，否则，执行步骤S208。

步骤S204：确定所述关键字所在扇区所属的组织单元。

步骤S205：找到所述组织单元的上一个组织单元。

步骤S206：判断是否已经找到文件系统的根目录，若已经找到根目录，则执行步骤S207，否则，继续执行步骤S205；

步骤S207：根据所找到的根目录，找到现存文件，或恢复已删除文件的全部数据或部分数据。

以Windows操作系统为例，其支持的文件系统包括FAT文件系统、FAT32文件系统和NTFS文件系统，其原理基本相同，均采用类似目录的结构来组织文件，目录结构的根目录包括一个指向文件首簇的指针，首簇的FAT入口又包含一个指向下一簇地址的指针，直至出现文件尾簇，即出现文件结束标记为止。

在磁盘上根据关键字进行文件的反向查找时，一旦在磁盘的某一个扇区上找到关键字，就可以根据关键字所在扇区所属的簇，反向查找到文件系统的目录结构。即在文件系统中，所述组织单元是具有多个扇区的簇的簇号，所述根目录是根目录表，即根据扇区所属的簇的簇号，逐层向上回溯到文件在文件系统中的根目录表，从而找到根目录表中文件表项对应的文件。

进一步地，为保证能够找到磁盘上存储的具有所述关键字的全部文件，执行所述步骤S207后，执行步骤S202，继续搜索下一个扇区，直至所有扇区搜索完毕。

步骤S208：若在某一扇区未搜索到关键字，则判断是否已经搜索到磁盘的最后一个扇区，若已经是最后一个扇区，则执行步骤S209，否则，执行步骤S202，继续搜索下一个扇区。

步骤S209：若已经是最后一个扇区，则确定没有搜索到关键字，即磁盘中存储的文件数据中不存在所述关键字。

综上所述，本发明能够快速在计算机磁盘上搜索到关键字所在文件，包括磁盘上现存文件和已删除文件，可应用于各种检索技术、电子信息取证、数据恢复等领域。

尽管上文对本发明进行了详细说明，但是本发明不限于此，本技术领域技术人员可以根据本发明的原理进行各种修改。因此，凡按照本发明原理所作的修改，都应当理解为落入本发明的保护范围。

Claims (9)

1.一种根据关键字反查文件的方法，用于对文件名称首字母已修改为特殊字符的已删除文件进行恢复，包括：

利用已删除文件中的关键字直接对磁盘进行关键字检索，并根据检索到的关键字反向查找该关键字所在的文件，具体包括：

A)确定已删除文件中的关键字；

B)根据所确定的已删除文件中的关键字，从磁盘的第一个扇区开始搜索所述关键字，从而得到已查找到的所述关键字所在的磁盘扇区；

C)根据已查找到的所述关键字所在的磁盘扇区，查找与所述关键字关联的所需文件的根目录；

D)利用所查找到的与所述关键字关联的所需文件的根目录，恢复所需文件；

所述步骤C)包括：

C1)根据已查找到的所述关键字所在的磁盘扇区，得到所述磁盘扇区在文件系统中所属的组织单元；

C2)利用已得到的组织单元，得到其在文件系统中的上一个组织单元；

C3)重复所述步骤C2)，直至找到与所述关键字关联的所需文件在文件系统中的根目录；

其中，所述组织单元是具有多个扇区的簇在文件系统中的簇号。

2.根据权利要求1所述的方法，其特征在于，所述步骤D)包括：在磁盘扇区上，当所需文件已部分覆盖时，利用所查找的根目录，恢复所需文件的未覆盖部分的文件数据。

3.根据权利要求1所述的方法，其特征在于，所述步骤D)包括：在磁盘扇区上，当所需文件未被覆盖时，利用所查找的根目录，恢复所需文件的全部数据。

4.根据权利要求3所述的方法，其特征在于，所述未被覆盖的所需文件包括未删除的文件。

5.根据权利要求3所述的方法，其特征在于，所述未被覆盖的所需文件包括进入回收站的文件。

6.根据权利要求3所述的方法，其特征在于，所述未被覆盖的所需文件包括执行回收站的清空处理后，文件数据所在的磁盘扇区未写入新数据的文件。

7.根据权利要求1-6任意一项所述的方法，其特征在于，所述根目录是文件系统的根目录表。

8.根据权利要求7所述的方法，其特征在于，所述文件系统是文件分配表FAT文件系统。

9.根据权利要求7所述的方法，其特征在于，所述文件系统是新技术文件系统NTFS。