CN104778099B - 一种基于历史版本的yaffs2破损文件重构方法 - Google Patents

Abstract

本发明公开了一种基于历史版本的YAFFS2破损文件重构方法，包括：扫描NAND闪存，建立整个文件系统的文件节点树；判断某个文件在文件节点树上是否完整；将不完整文件的对象号存放到数组tmp[0]；将文件节点树上所有属于此文件的页面的页面号存放到tmp[1]‑tmp[n]；扫描NAND上的页面，读取每个页面的yaffs_tags，当对象号＝tmp[0]，执行下一步；判断当前页面的对象号是否存在于数组tmp[]，若存在则继续扫描，否则此页面插入到文件节点树；当判断为不完整的文件已经完整，将其所有页面数据复制到新的指定地址，清空数组tmp[]。本发明的有益效果：通过基于文件的历史版本重构破损文件，以达到数据恢复的目的，该方法在数字取证中，能满足尽可能完整的获取设备中所存储的数据的要求。

Description

一种基于历史版本的YAFFS2破损文件重构方法

技术领域

本发明涉及Android数字取证技术领域，具体而言，涉及一种基于历史版本的YAFFS2破损文件重构方法。

背景技术

数字取证是一个高速发展的技术领域，对诸如公司内部调查分析、民事诉讼、刑事调查、情报收集以及涉及到国家安全等众多方面产生巨大的影响。Android智能平台的应用日益广泛，有越来越多的用户信息和数据存储在Android智能终端的Flash闪存上，比如通讯录、短信、图片、备忘录等数据，其中包含的敏感性信息、重要数据，是数字取证的重要数据来源。在Android取证给人们提供巨大商机的同时，对于取证分析师和安全工程师来说，如何尽可能完整的恢复设备上存储的数据是一个严峻的挑战。

NAND闪存是一种电可擦写可编程，非易失性的只读存储器，具有功耗低、携带方便、成本低等优点。与磁存储器件在存储特性上有很大不同，NAND闪存在能够被写入之前必须先被擦除，写入操作以页作为最小单位，擦除操作以块作为最小单位，但每一块能承受的擦除操作次数有限。为了克服这种不耐擦写的特性，NAND闪存都采用“异地更新”策略，即当闪存存储的数据发生变化时不在原地改动数据，而是在空白区域存储改动后的新数据，为取证研究者恢复数据，搜寻残余数据提供了更大的空间。

YAFFS(Yet Another Flash File System)是由新西兰的Aleph One LTD.公司的Charles Manning针对NAND设计和开发的一个开放源码嵌入式文件系统。YAFFS于2001年月12月开始被设计并于2002年5月公开发布(YAFFS1)，目前该系统有YAFFS1和YAFFS2二个版本。YAFFS1运行在页大小为512B的NAND闪存上，YAFFS2主要服务于页面大小为1K或2KB的NAND闪存。与YAFFS1相比，YAFFS2扩展了YAFFS1的功能并能够更好的支持大容量NANDFLASH闪存。由于NAND的物理特性，YAFFS采用日志型结构设计，需要实现被动的垃圾回收机制来对过时但还未被擦除的数据块进行管理。

目前为止，已有许多根据文件系统元数据进行数据恢复的方法，例如倒序扫描方法、备份数据恢复方法、基于元数据的YAFFS2文件恢复方法。

Android采用NAND闪存做为内核存储器，YAFFS2是专为NAND闪存设计的日志型文件系统，具有一些不同于其他文件系统的特性。当待恢复文件包含破损或丢失的页面时，传统的恢复方法则不能将其有效恢复出来。

发明内容

为解决上述问题，本发明的目的在于提供一种YAFFS2文件系统下的数据恢复方法。

本发明提供了一种基于历史版本的YAFFS2破损文件重构方法，其特征在于，包括以下步骤：

步骤1，对NAND闪存进行扫描，建立整个文件系统的文件节点树，根据页面号依次扫描所述NAND闪存，对每一个页面读取其对象号，将所述对象号相同的页面插入到所述文件节点树的同一分支下；

步骤2，判断所述整个文件系统中某一文件在所述文件节点树上是否完整，如果其所有页面数据大小等于文件的对象头页面中存储的文件大小，则说明此文件是完整的，否则文件不完整；

步骤3，将不完整文件的对象号存放到数组tmp[0]；

步骤4，将所述文件节点树上所有属于此文件的页面的页面号存放到数组tmp[1]-tmp[n]；

步骤5，继续扫描所述NAND闪存上的页面，读取每个页面的yaffs_tags，当对象号＝tmp[0]，执行下一步；

步骤6，判断当前数据页面是否已经存在于所述文件节点树，当页面的对象号存在于数组tmp[]，将其页面号与所述文件节点树中此对象文件已有的页面进行匹配，如果页面的页面号已经存在于数组tmp[]，则继续扫描，如果页面的页面号不存在于数组tmp[]，则将其插入所述文件节点树并存储其物理地址；

步骤7，当判断为不完整的文件已经完整时，将其所有页面数据复制到新的指定地址，清空数组tmp[]。

作为本发明进一步的改进，YAFFS2中，有两种不同的页面：数据页面与对象头页面，所述数据页面用于存储对象的数据内容，所述对象头页面用于描述对象的字段信息。

作为本发明进一步的改进，所述对象头页面描述对象的字段信息包括：目录、普通文件、硬链接、软链接，文件大小、对象名、对象的创建、修改、访问时间。

作为本发明进一步的改进，YAFFS2一共使用了8个位的空间用来存放文件系统相关的信息，即yaffs_tags，其中包含页面号和对象号信息，所述对象号是该页面所属对象的ID号，所述页面号用于标识该页面在所处对象中的逻辑位置。

作为本发明进一步的改进，所述页面号为0表示该页面是对象头，所述页面号为1表示该页面是所属对象的第一个数据页面。

本发明的有益效果为：通过基于文件的历史版本重构破损文件，以达到数据恢复的目的。该方法在数字取证中，能满足尽可能完整的获取设备中所存储的数据的要求。

附图说明

图1为本发明实施例所述的一种基于历史版本的YAFFS2破损文件重构方法的流程图。

具体实施方式

下面通过具体的实施例并结合附图对本发明做进一步的详细描述。

实施例1，YAFFS文件系统把所有存储在NAND芯片上的内容都看成对象，每个对象都有一个专属的对象号(ObjectID)与之对应，且ObjectID是对象的唯一标识。NAND闪存以页为单位，页是NAND进行存储空间分配和读写操作的最小单位。遵循NAND闪存以页作为写入操作最小单位的特性，在YAFFS文件系统中，芯片的存储空间分配单位是页面。在YAFFS中，有两种不同的页面：数据页面(Data chunk)与对象头页面(Object header)，前者用于存储对象的数据内容；而后者则用于描述对象的字段信息包括：目录、普通文件、硬链接、软链接，文件大小、对象名、对象的创建、修改、访问时间。

YAFFS的每个页面都有各自的标签，其中对象号(ObjectID)是该页面所属对象的ID号，页面号(ChunkID)用于标识该页面在所处对象中的逻辑位置，如ChunkID为0表示该页面是对象头，ChunkID为1表示该页面是所属对象的第一个数据页面。YAFFS2摒弃了在YAFFS1中使用的过期页面标识deletion marker，改进为在存储数据时为每个块递增地分配一个块序号(Block Number)，该块中所有的页面都会共享这一序号，每当新分配一个块时，块序号加1。对YAFFS2而言，在某一时刻仅有一个块被视为可分配的块(allocatingblock)，文件系统在可分配块中顺序分配页面用于存储数据，在当前可分配块分配完后，顺序寻找下一可分配的块继续进行分配。当可用存储空间足够大时，YAFFS2完全按照物理顺序进行空间分配的；当存储空间不足时会激发垃圾回收机制，打破这种严格按物理顺序进行分配的方式。表1列出了对象头各字段信息。

表1为对象头页面存储的字段信息：

其中，字段Yst_mtime表示修改时间(modification time)，是文件本身的内容发生了变化，是在写入文件时随文件内容的更改而更改的；字段Yst_ctime表示改变时间(change time)，是文件的索引节点发生了改变，是在写入文件、更改所有者、权限或链接设置时随Inode的内容更改而更改的；字段Yst_atime表示访问时间(access time)，是文件最后一次被读取的时间，是在读取文件或者执行文件时更改的。

对时间戳的比较分析可以看出，访问时间Yst_atime是文件最后一次被读取的时间。因此阅读一个文件会更新它的访问时间，此时它的改变时间Yst_ctime并没有变化(文件的信息没有被改变)，它的修改时间Yst_mtime也同样如此(文件本身没有被改变)。因此，根据Yst_atime时间戳信息为依据可以恢复出数据文件的最终版本。根据Yst_mtime时间戳信息为依据可以恢复出数据文件的不同版本。

YAFFS文件系统设计为，当一个文件被修改之后，文件系统并不会将原来的相关数据页面删除，而是将修改的内容另行写到空的页面，然后对此文件添加一个新的Objectheader页面，以标识新写入的数据页面才是有效的。根据这一特性，我们可以利用NAND闪存中存在的文件数据页面的历史版本来替代损坏或丢失的最新版本的数据页面，以恢复出完整的文件。

如图1所示，本发明实施例所述的一种基于历史版本的YAFFS2破损文件重构方法，包括：

步骤1，对NAND闪存进行扫描，建立整个文件系统的文件节点树，根据页面号依次扫描NAND闪存，对每一个页面读取其对象号，将对象号相同的页面插入到文件节点树的同一分支下；

步骤2，判断整个文件系统中某一文件在文件节点树上是否完整，如果其所有页面数据大小等于文件的对象头页面中存储的文件大小，则说明此文件是完整的，否则文件不完整；

步骤3，将不完整文件的对象号存放到数组tmp[0]；

步骤4，将Tnode tree上所有属于此文件的页面的页面号存放到数组tmp[1]-tmp[n]；

步骤5，继续扫描NAND闪存上的页面，读取每个页面的yaffs_tags，当对象号＝tmp[0]，执行下一步；

步骤6，判断当前数据页面是否已经存在于文件节点树，当页面的对象号存在于数组tmp[]，将其页面号与文件节点树中此对象文件已有的页面进行匹配，如果页面的页面号已经存在于数组tmp[]，则继续扫描，如果页面的页面号不存在于数组tmp[]，则将其插入文件节点树并存储其物理地址；

步骤7，当判断为不完整的文件已经完整时，将其所有页面数据复制到新的指定地址，清空数组tmp[]。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种基于历史版本的YAFFS2破损文件重构方法，其特征在于，包括以下步骤：

步骤1，对NAND闪存进行扫描，建立整个文件系统的文件节点树，根据页面号依次扫描所述NAND闪存，对每一个页面读取其对象号，将所述对象号相同的页面插入到所述文件节点树的同一分支下；

步骤2，判断所述整个文件系统中某一文件在所述文件节点树上是否完整，如果其所有页面数据大小等于文件的对象头页面中存储的文件大小，则说明此文件是完整的，否则文件不完整；

步骤3，将不完整文件的对象号存放到数组tmp[0]；

步骤4，将所述文件节点树上所有属于此文件的页面的页面号存放到数组tmp[1]-tmp[n]；

步骤5，继续扫描所述NAND闪存上的页面，读取每个页面的yaffs_tags，当对象号＝tmp[0]，执行下一步；

步骤6，判断当前数据页面是否已经存在于所述文件节点树，当页面的对象号存在于数组tmp[]，将其页面号与所述文件节点树中此对象文件已有的页面进行匹配，如果页面的页面号已经存在于数组tmp[]，则继续扫描，如果页面的页面号不存在于数组tmp[]，则将其插入所述文件节点树并存储其物理地址；

步骤7，当判断为不完整的文件已经完整时，将其所有页面数据复制到新的指定地址，清空数组tmp[]。

2.根据权利要求1所述的一种基于历史版本的YAFFS2破损文件重构方法，其特征在于，YAFFS2中，有两种不同的页面：数据页面与对象头页面，所述数据页面用于存储对象的数据内容，所述对象头页面用于描述对象的字段信息。

3.根据权利要求2所述的一种基于历史版本的YAFFS2破损文件重构方法，其特征在于，所述对象头页面描述对象的字段信息包括：目录、普通文件、硬链接、软链接，文件大小、对象名、对象的创建、修改、访问时间。

4.根据权利要求1所述的一种基于历史版本的YAFFS2破损文件重构方法，其特征在于，YAFFS2一共使用了8个位的空间用来存放文件系统相关的信息，即yaffs_tags，其中包含页面号和对象号信息，所述对象号是该页面所属对象的ID号，所述页面号用于标识该页面在所处对象中的逻辑位置。

5.根据权利要求4所述的一种基于历史版本的YAFFS2破损文件重构方法，其特征在于，所述页面号为0表示该页面是对象头，所述页面号为1表示该页面是所属对象的第一个数据页面。