CN105653731A - 一种jfs文件系统的删除数据恢复方法 - Google Patents

Abstract

本发明公开了一种JFS文件系统的删除数据恢复方法，包括：获取日志记录，解析JFS文件系统；确定日志记录的子文件项挂载在解析得到的目录项中；比较解析得到的目录项中的子文件项与日志记录中的子文件项；获取解析得到的目录项中的子文件项与日志记录中的子文件项不相同部分的日志记录中的inode信息；根据上述inode信息中的存储地址获取删除文件的文件内容。能够根据JFS文件系统内嵌的日志记录得到删除数据对应的存储地址，根据该存储地址找到删除的数据并进行恢复。

Description

一种JFS文件系统的删除数据恢复方法

技术领域

本发明涉及电子取证领域，尤其涉及一种JFS文件系统的删除数据恢复方法。

背景技术

JFS(Journalingfilessystem)也称为IBM日志文件系统，是由IBM创建的一种日志文件系统。JFS文件系统是基于日志的字节级的文件系统，该文件系统是为面向事务的高性能系统而开发的。它具有可伸缩性和健壮性，与非日志文件系统相比，它具有快速重启能力。

JFS文件系统经过移植，现在广泛应用与Linux、Unix操作系统中，其数据恢复技术在信息安全领域属于一个备受关注热点。现有的JFS文件系统的删除数据恢复技术，都必须是在Linux操作系统下，通过JFS文件系统提供的日志导出工具，导出日志文件手动恢复删除文件，这就必然导致效率低下，准确度不高。

发明内容

本发明所要解决的技术问题是：如何有效、准确的恢复JFS文件系统的删除数据。

为了解决上述技术问题，本发明采用的技术方案为：

一种JFS文件系统的删除数据恢复方法，包括：

获取日志记录，解析JFS文件系统；

确定日志记录的子文件项挂载在解析得到的目录项中；

比较解析得到的目录项中的子文件项与日志记录中的子文件项；

获取解析得到的目录项中的子文件项与日志记录中的子文件项不相同部分的日志记录中的inode信息；

根据上述inode信息中的存储地址获取删除文件的文件内容。

本发明的有益效果在于：获取日志记录，解析JFS文件系统，从而能够对日志记录的内容和解析后JFS文件系统的内容进行比较；如果日志记录中的内容未挂载在该解析得到的目录项，说明该日志记录不是解析得到的目录项对应的日志记录，从而通过确定挂载在解析得到的目录项中的日志记录的子文件项，确保该日志记录为解析得到的目录项对应的日志记录；比较解析得到的目录项中的子文件项和日志记录中的子文件项，如果两者不同，说明日志记录中存在差异的子文件项对应的内容指向JFS文件系统删除的文件对应的内容，因此获取该存在差异部分的日志记录的inode信息，根据该inode信息中指向文件内容的存储地址即可获取删除文件的文件内容，有效、准确地恢复JFS文件系统的删除数据。

附图说明

图1为本发明实施例一的JFS文件系统的删除数据恢复方法的JFS文件系统的布局图；

图2为本发明实施例一的JFS文件系统的删除数据恢复方法的JFS文件系统的内嵌日志结构图；

图3为本发明实施例一的JFS文件系统的删除数据恢复方法的流程图；

图4为本发明实施例二的JFS文件系统的删除数据恢复方法的JFS文件系统的文件恢复流程图；

图5为本发明实施例三的“恢复删除文件”的具体流程的流程图。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以说明。

本发明最关键的构思在于:比较日志记录和解析后的JFS系统文件，获取两者不同时日志记录中的inode信息，根据inode信息中存储地址得到删除的文件内容。

本发明涉及的技术术语解释:

请参照图1至图5，本发明提供

一种JFS文件系统的删除数据恢复方法，包括：

S101、获取日志记录，解析JFS文件系统；

S102、确定日志记录的子文件项挂载在解析得到的目录项中；

S103、比较解析得到的目录项中的子文件项与日志记录中的子文件项；

S104、获取解析得到的目录项中的子文件项与日志记录中的子文件项不相同部分的日志记录中的inode信息；

S105、根据上述inode信息中的存储地址获取删除文件的文件内容。

从上述描述可知，本发明的有益效果在于：获取日志记录，解析JFS文件系统，从而能够对日志记录的内容和解析后JFS文件系统的内容进行比较；如果日志记录中的内容未挂载在该解析得到的目录项，说明该日志记录不是解析得到的目录项对应的日志记录，从而通过确定挂载在解析得到的目录项中的日志记录的子文件项，确保该日志记录为解析得到的目录项对应的日志记录；比较解析得到的目录项中的子文件项和日志记录中的子文件项，如果两者不同，说明日志记录中存在差异的子文件项对应的内容指向JFS文件系统删除的文件对应的内容，因此获取该存在差异部分的日志记录的inode信息，根据该inode信息中指向文件内容的存储地址即可获取删除文件的文件内容，有效、准确地恢复JFS文件系统的删除数据。

进一步的还包括：S106、将删除文件的文件内容恢复到当前解析目录下。

从上述描述可知，删除文件的文件内容恢复到当前解析的目录下，方便查找恢复的删除文件。

进一步的，还包括：

获取超级块的内容；

根据超级块中的魔数信息判断超级块所在的分区是否为JFS文件系统分区。

进一步的，还包括：若不是JFS文件系统分区，结束流程；若是JFS文件系统分区，根据超级块信息中的日志标识符，判断是否存在日志记录。

从上述描述可知，根据超级块中的魔数信息能够知道超级块所在的分区是不是JFS文件系统分区，从而避免浪费工作量在非JFS文件系统分区的超级快处理上。

进一步的，还包括：

若不存在日志记录，结束流程；若存在日志记录，获取日志超级块魔数和日志写入标志；

判断是否日志超级块魔数存在且日志写入标志打开；

若是，获取日志记录；若否，结束流程。

从上述描述可知，先判断是否存在日志记录以及存在日志记录时是否日志超级块魔数存在且日志写入标志打开，再获取日志记录，确保日志记录存在且可用，避免浪费工作量在不存在的日志记录或不可用的日志记录处理上，以及避免因日志记录不存在或不可用导致数据恢复流程出错。

进一步的，所述日志记录包括文件节点信息，所述“比较解析得到的目录项中的子文件项与日志记录中的子文件项”具体为判断解析得到的目录项中子文件项的节点号和日志记录中的子文件项节点号是否相同。

从上述描述可知，由于解析得到的目录项中的子文件项的节点号和日志记录中的子文件项的节点号是一一对应相同的关系，通过比较目录项中子文件项的节点号和日志记录中的子文件项节点号是否相同即可知道解析得到的目录项中的子文件项与日志记录中的子文件项是否相同。

进一步的，所述确定日志记录的子文件项挂载在解析得到的目录项中具体为：判断日志记录中的子文件项是否挂载在当前解析的目录项文件中，若否，则对下一个目录项进行解析并判断所述日志记录中的子文件项是否挂载在下一个解析得到的目录项文件中。

从上述描述可知，对于不是挂载在当前解析的目录项文件中的日志记录的子文件项，直接跳过，继续判断日志记录中的子文件项是否挂载在下一个解析的目录项文件中，从而能够对所有解析的目录项文件进行判断，确保数据恢复的准确性。

进一步的，还包括：解析得到的目录项中的子文件项与日志记录中的子文件项相同时，对下一个目录项进行解析并获取挂载在下一个解析得到的目录项中的日志记录的子文件项。

从上述描述可知，目录项中的子文件项与日志记录的子文件项相同，说明该日志记录的子文件项对应的JFS文件系统的内容未被删除，因此不需要再做处理，继续对下一个目录项进行解析并获取挂载在下一个解析得到的目录项中的日志记录的子文件项，从而能够对所有解析的目录项文件进行判断，确保数据恢复的准确性。

请参照图1-5，本发明的实施例一为：

JFS文件系统的布局图如图1所示，JFS文件系统主要由保留区、主聚集超级块、聚集、辅助聚集超级块、块分配映射表、文件集、Fsck工作区、内嵌日志区组成。主聚集超级块主要描述JFS文件系统的整体布局分布，聚集大块信息，聚集和文件集是JFS文件系统的主体部分，存储于JFS文件系统的文件都是通过文件集来描述的，Fsck工作区用于检测JFS文件系统是否正常工作，内嵌日志用于记录存储于JFS文件系统中元数据的操作信息。JFS文件系统的内嵌日志结构如图2所示，内嵌日志包括日志属性头部和日志内容。其中日志属性头部由日志序列号，前一同一类型日志记录，日志记录类型，日志内容长度，日志长度五部分构成。不同的日志记录类型和不同的日志内容长度共同指定日志内容的数据结构。

JFS文件系统中存储数据的结构称为inode，JFS文件系统inode大小为512个字节，有128个固定节点头和剩余的384个字节的节点内容组成。inode结构中固定节点头存储了文件系统对象(包括文件、设备节点、套接字、管道等)除了数据内容和文件名以为的所有信息。

inode固定节点头结构中不包括文件名，文件内容，只包含文件的元数据。inode节点属性根据inode描述的对象不同，内容也不相同。若节点描述的对象是文件，则节点内容部分的信息为指向文件内容的指针，根据文件内容的大小，指向文件内容的指针可能是一级指针，二级指针或者三级指针。若节点描述的对象是目录文件，则节点内容部分的信息是一个列表，根据目录项下文件或者目录项的多寡，当目录项的文件或者目录项数量不大于8时，节点内容部分之间存储列表，否则存储指向列表的指针。每个列表项包括一个文件或者目录的名称，以及对应的inode节点号。每个文件都对应一个唯一的inode节点，而每个inode节点却对应不止一个文件，主要是因为JFS文件系统存在着硬链接和软链接两种链接方式。

根据上述JFS文件系统的结构和原理，提出一种JFS文件系统的删除数据恢复方法，请参照图3至图5，包括：解析JFS文件系统，下述整个恢复过程与解析过程同时进行；

获取超级块的内容；所述超级块为上述JFS文件系统中的主聚集超级块；

根据超级块中的魔数信息判断超级块所在的分区是否为JFS文件系统分区；

若不是JFS文件系统分区，结束流程；若是JFS文件系统分区，根据超级块信息中的日志标识符，判断是否存在日志记录；所述日志记录为存储于上述JFS文件系统中内嵌日志区的日志记录；

若不存在日志记录，结束流程；若存在日志记录，获取日志超级块魔数和日志写入标志；

判断是否日志超级块魔数存在且日志写入标志打开；

若是，获取日志记录；若否，结束流程；

确定日志记录的子文件项挂载在解析得到的目录项中；具体的，判断日志记录中的子文件项是否挂载在当前解析的目录项文件中，若否，则对下一个目录项进行解析并判断所述日志记录中的子文件项是否挂载在下一个解析得到的目录项文件中；若是，获取挂载在当前解析的目录项文件中的日志记录中的子文件项；

比较解析得到的目录项中的子文件项与日志记录中的子文件项；当解析得到的目录项中的子文件项与日志记录中的子文件项相同时，对下一个目录项进行解析并获取挂载在下一个解析得到的目录项中的日志记录的子文件项；当解析得到的目录项中的子文件项与日志记录中的子文件项不同时，获取当前解析的目录项中的子文件项与日志记录中的子文件项不相同部分的日志记录中的inode信息；优选的，通过判断解析得到的目录项中子文件项的节点号和日志记录中的子文件项节点号是否相同来比较解析得到的目录项中的子文件项与日志记录中的子文件项；

根据上述inode信息中的存储地址获取删除文件的文件内容；

将删除文件的文件内容恢复到当前解析目录下。

请参阅图4，本发明实施例二为JFS文件系统的文件恢复流程，与整个JFS文件系统的解析过程同时进行，包括：

S201、获取超级块的内容；

S202、判断是否超级块魔数存在且内嵌的日志标识符存在；

S203、若是，获取日志超级块信息；若否，结束流程；

S204、判断是否日志超级块魔数存在且日志写入标志打开；

S205、若是，获取日志记录；若否，结束流程；

S206、判断JFS文件系统解析是否结束；

S207、若是，结束流程；若否，判断删除文件是否恢复到当前解析的文件夹下；

S208、若是，恢复删除文件；若否，返回S206步骤；

请参阅图5，本发明实施例三为上述实施例二步骤S208中“恢复删除文件”的具体流程，包括：

S301、判断日志记录中的子文件项是否挂载在当前解析的目录项文件中；

S302、若否，判断所述日志记录中的子文件项是否挂载在下一个解析得到的目录项文件中；

S303、若是，获取挂载在当前解析的目录项文件中的日志记录中的子文件项；

S304、判断当前解析的目录项中的子文件项与日志记录中的子文件项是否相同；

S305、若是，返回步骤S302；

S306、若否，获取当前解析的目录项中的子文件项与日志记录中的子文件项不相同部分的日志记录中的inode信息；

S307、根据上述inode信息中的存储地址获取删除文件的文件内容；

S308、将删除文件的文件内容恢复到当前解析目录下。

综上所述，本发明提供的JFS文件系统的删除数据恢复方法，首先根据获取到的超级块中的魔数信息判断超级块所在的分区是否为JFS文件系统分区，从而避免浪费工作量在非JFS文件系统分区的超级块中；对于JFS文件系统分区的超级块，根据超级块信息中的日志标识符，判断是否存在日志记录；存在日志记录时，获取日志超级块魔数和日志写入标志；判断是否日志超级块魔数存在且日志写入标志打开；若是，才获取日志记录；避免浪费工作量在日志记录不存在或不可以用的日志记录处理中；解析JFS文件系统与整个删除数据恢复过程同时进行，通过比对日志记录中的内容和解析得到的目录项文件得到挂载在解析得到的目录项中的日志记录的子文件项，并通过比较当前解析的目录项中的子文件项与日志记录中的子文件项，当目录项中的子文件项与日志记录中的子文件项不同时说明该日志记录中不同的部分对应的解析得到的目录项中对应的内容即为删除的内容，获取当前解析的目录项中的子文件项与日志记录中的子文件项不相同部分的日志记录中的inode信息，从而能够根据inode信息对应的指向文件内容的存储地址找到删除文件的文件内容，并将该删除文件的文件内容恢复到当前解析目录下，实现JFS文件系统的删除数据恢复。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等同变换，或直接或间接运用在相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (8)

1.一种JFS文件系统的删除数据恢复方法，其特征在于，包括：

获取日志记录，解析JFS文件系统；

确定日志记录的子文件项挂载在解析得到的目录项中；

比较解析得到的目录项中的子文件项与日志记录中的子文件项；

获取解析得到的目录项中的子文件项与日志记录中的子文件项不相同部分的日志记录中的inode信息；

根据上述inode信息中的存储地址获取删除文件的文件内容。

2.根据权利要求1所述的JFS文件系统的删除数据恢复方法，其特征在于，还包括：将删除文件的文件内容恢复到当前解析目录下。

3.根据权利要求1所述的JFS文件系统的删除数据恢复方法，其特征在于，还包括：

获取超级块的内容；

根据超级块中的魔数信息判断超级块所在的分区是否为JFS文件系统分区。

4.根据权利要求3所述的JFS文件系统的删除数据恢复方法，其特征在于，还包括：若不是JFS文件系统分区，结束流程；若是JFS文件系统分区，根据超级块信息中的日志标识符，判断是否存在日志记录。

5.根据权利要求4所述的JFS文件系统的删除数据恢复方法，其特征在于，还包括：

若不存在日志记录，结束流程；若存在日志记录，获取日志超级块魔数和日志写入标志；

判断是否日志超级块魔数存在且日志写入标志打开；

若是，获取日志记录；若否，结束流程。

6.根据权利要求1所述的JFS文件系统的删除数据恢复方法，其特征在于，所述日志记录包括文件节点信息，所述“比较解析得到的目录项中的子文件项与日志记录中的子文件项”具体为比较解析得到的目录项中子文件项的节点号和日志记录中的子文件项节点号是否相同。

7.根据权利要求1所述的JFS文件系统的删除数据恢复方法，其特征在于，所述确定日志记录的子文件项挂载在解析得到的目录项中具体为：判断日志记录中的子文件项是否挂载在当前解析的目录项文件中，若否，则对下一个目录项进行解析并判断所述日志记录中的子文件项是否挂载在下一个解析得到的目录项文件中。

8.根据权利要求1所述的JFS文件系统的删除数据恢复方法，其特征在于，还包括：解析得到的目录项中的子文件项与日志记录中的子文件项相同时，对下一个目录项进行解析并获取挂载在下一个解析得到的目录项中的日志记录的子文件项。