CN110928840B - 一种qnx6文件系统读取方法 - Google Patents

Abstract

本发明公开一种QNX6文件系统读取方法，包括如下步骤：S101、从flash中获取二进制数据文件；S102、剔除IMGFS文件系统和EXT2文件系统；S103、标识QNX6文件系统的头和尾；S104、截取QNX6文件系统头和尾包括的二进制文件；S105、安装QNX6虚拟机；S106、在所述QNX6虚拟机中挂载步骤S104中的二进制文件；S107、读取QNX6文件系统的内容。本发明结合了虚拟机技术和QNX6的unix操作系统的文件系统可以动态手工挂载的特点，分析剔除IMGFS文件系统和EXT2文件系统，进而定位出QNX6文件系统的头尾，截取并挂载到虚拟机中进行目录和文件的内容读取。

Description

一种QNX6文件系统读取方法

技术领域

本发明涉及文件系统读取技术领域，尤其涉及一种QNX6文件系统读取方法。

背景技术

Gordon Bell和Dan Dodge在1980年成立了Quantum Software Systems公司，他们根据大学时代的一些设想写出了一个能在IBM PC上运行的名叫QUNIX(Quick UNIX)的系统，直到AT&T发律师函过来才把名字改成QNX。QNX是一种商用的遵从POSIX规范的类Unix实时操作系统，具有分布式、嵌入式、可规模扩展、实时操作系统等特点。QNX的体系结构是一个微内核实时操作系统，其核心仅提供4种服务：进程调度、进程间通信、底层网络通信和中断处理，其进程在独立的地址空间运行。所有其它OS服务，都实现为协作的用户进程，因此QNX核心非常小巧(QNX4.x大约为12Kb)而且运行速度极快。调度策略：QNX提供POSⅨ.1b标准进程调度：*255个进程优先级；*抢占式的、基于优先级的正文切换；*可选调度策略：FIFO、轮转策略、适应性策略。QNX的结构，是业界公认的X86平台上最好的嵌入式实时操作系统之一，它具有独一无二的微内核实时平台，建立在微内核和完全地址空间保护基础之上，实时、稳定、可靠，已经完成到PowerPC、MIPS、ARM等内核的移植，成为在国内广泛应用的嵌入式实时操作系统。虽然QNX本身并不属于UNIX，但由于其提供了POSIX的支持，使得多数传统UNIX程序在微量修改(甚至不需修改)后即可在QNX上面编译与运行。QNX6以前的版本完全开源，但6.0版本后不再开源。QNX6文件系统即QNX6.0及更高版本的文件系统的主要特点是电源安全磁盘操作系统，它不会因为供电故障而导致文件系统丢失数据。它是专为传统的旋转硬盘驱动介质而设计的。

现有磁盘文件系统存在的主要问题：(1)、硬盘上的每个扇区都包含一个4字节的纠错代码(ECC)，驱动器用来捕捉硬件错误等等。如果驱动程序在电源失效时写入磁盘，则会将磁头移除，以防止它们在表面上崩溃，从而使扇区与新内容一起写成一半。下一次当您尝试读取该块(或扇区)时，不一致的ECC会导致读取失败，因此您将丢失旧的和新的内容。您可以获得提供原子扇区升级的硬盘驱动器，并向您保证扇区中所有旧的或新的数据都是可读的，但是这些驱动器很少见，而且非常昂贵。(2)、某些文件系统操作需要更新多个磁盘上的数据结构。例如，如果程序调用Unlink()，则文件系统必须更新位图块、目录块和索引节点，这意味着它必须写入三个单独的块。如果在写入这些块之间的功率失败，则文件系统在磁盘上处于不一致的状态。关键文件系统数据(如目录、索引、区段块和位图的更新)以仔细选择的顺序与磁盘同步写入，以便减少(但不消除)此风险。(3)、您可以使用chkfsys检查QNX 4文件系统的一致性，但它只检查文件系统的结构和元数据，而不是用户的文件数据，而且如果磁盘很大或上面有许多目录，则会比较慢。(4)、如果根目录、位图或inode文件(全部位于磁盘的前几个块中)损坏，则根本无法挂载文件系统。您可能能够手动修复系统，但您需要非常熟悉文件系统结构的细节。电源安全操作系统主要依靠写时拷贝技术来实现。为了解决与现有磁盘文件系统相关的问题，电源安全的文件系统从不覆盖活数据；它使用在磁盘上未使用的块中组装文件系统的新视图，使用复制即写(COW)进行所有更新。只有当所有更新都安全地写入磁盘上时，文件系统的新视图才会生效。一切都是牛：元数据和用户数据都受到保护。为了了解这是如何工作的，让我们考虑一下数据是如何存储的。电源安全文件系统分为逻辑块，当使用mkqnx6fs格式化文件系统时，可以指定其大小。每个inode包含16个指向块的指针。如果文件小于16个块，则inode直接指向数据块。如果文件更大，这16个块将成为mo的指针。指向实际数据的最后块指针都在叶子中，并且都在相同的级别上。在其他一些文件系统(如ext 2)中，文件总是有一些直接块，一些是间接块，另一些是双间接块，所以您可以使用不同的级别来获取文件的不同部分。使用电源安全的文件系统，文件的所有用户数据都在同一级别上。

文件系统的识别和获取是分析数据的基础和关键。随着Soc功能的日渐强大，配备的软件也逐渐复杂，一般都带有操作系统和文件系统。在对操作系统一无所知的情况下，只有通过识别文件系统，才能找到操作系统的相关信息，进而分析关键数据。由于QNX6文件系统是一种特殊的、安全的文件系统，它的数据结构、工作原理对外界都不开放，与常用的文件系统也不相同。通过常用的分析系统分析技术无法正确读取文件系统信息。

发明内容

本发明的目的在于通过一种QNX6文件系统读取方法，来解决以上背景技术部分提到的问题。

为达此目的，本发明采用以下技术方案：

一种QNX6文件系统读取方法，该方法包括如下步骤：

S101、从flash中获取二进制数据文件；

S102、剔除IMGFS文件系统和EXT2文件系统；

S103、标识QNX6文件系统的头和尾；

S104、截取QNX6文件系统头和尾包括的二进制文件；

S105、安装QNX6虚拟机；

S106、在所述QNX6虚拟机中挂载步骤S104中的二进制文件；

S107、读取QNX6文件系统的内容。

特别地，所述步骤S101包括：从flash中获取二进制数据文件，采用包括但不限于初步数据阅读、查找关键字方法，剥离操作系统、外部驱动在内的干扰代码，采用但不限于Hexprobe分析软件初步识别出ELF文件列表、XML文件列表，以及常规可识别的文件列表。

特别地，所述步骤S102包括：对于IMGFS文件系统：S10211、查找根目录；S10212、查找文件或目录；S10213、定位文件字节地址；S10214、判断是否结束，若结束，若未结束则返回执行步骤S10213。

特别地，所述步骤S102还包括：对于EXT2文件系统：S10221、查找文件inode；S10222、查找文件数据块；S10223、判断是否一个文件结束，若未结束则返回执行步骤S10222，若结束则执行步骤S10224；S10224、判断是否所有文件结束，若未结束则返回执行步骤S10221。

特别地，所述步骤S103之前还包括：搭建一个可运行QNX程序的虚拟机环境，宿主机使用WindowsXP操作系统：一、安装并运行vmware workstation 10；二、下载开源QNX6.5镜像文件；三、在vmware中利用QNX镜像文件创建一个虚拟机。

特别地，所述步骤S103具体包括：S1031、在Windows系统中，使用16进制文件编辑工具打开二进制文件；S1032、手动定位到QNX6文件系统文件头位置0x20000000；S1033、手动定位到QNX6文件系统文件尾位置0x3FFFFFFF。

特别地，所述步骤S106具体包括：把步骤S104中截取的二进制文件拷到QNX虚拟机的根目录下；使用mount–t qnx6命令把所述二进制文件挂载到系统。

本发明提出的QNX6文件系统读取方法结合了虚拟机技术和QNX6的unix操作系统的文件系统可以动态手工挂载的特点，分析剔除IMGFS文件系统和EXT2文件系统，进而定位出QNX6文件系统的头尾，截取并挂载到虚拟机中进行目录和文件的内容读取。

附图说明

图1为本发明实施例提供的QNX6文件系统读取方法流程图；

图2为本发明实施例提供的简单文件系统剥离示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部内容，除非另有定义，本文所使用的所有技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中所使用的术语只是为了描述具体的实施例，不是旨在于限制本发明。

请参照图1所示，图1为本发明实施例提供的QNX6文件系统读取方法流程图。文件系统的识别和获取是分析数据的基础和关键，随着Soc功能的日渐强大，配备的软件也逐渐复杂，一般都带有操作系统和文件系统。在对操作系统一无所知的情况下，只有通过识别文件系统，才能找到操作系统的相关信息，进而分析关键数据。而识别文件系统，由必须从识别文件下手，找到具有标志性的文件头以及对应的目录信息，从而分析出文件列表和对应的目录关系。

本实施例中QNX6文件系统读取方法具体包括如下步骤：

S101、从flash中获取二进制数据文件。

文件系统的识别和获取是分析数据的基础和关键。从flash中获取二进制数据文件，采用包括但不限于初步数据阅读、查找关键字方法，剥离操作系统、外部驱动在内的干扰代码，采用但不限于Hexprobe分析软件初步识别出ELF文件列表、XML文件列表，以及常规可识别的文件列表。其中，Hexprobe分析软件是一款通用的十六进制编辑器，适用于十六进制字节的编辑、数据模式分析，如IT安全。

S102、剔除IMGFS文件系统和EXT2文件系统。

EXT2第二代扩展文件系统(英语：second extended filesystem，缩写为ext2)，是LINUX内核所用的文件系统，它开始由Rémy Card设计，用以代替ext，于1993年1月加入linux核心支持之中。EXT2的经典实现为LINUX内核中的ext2fs文件系统驱动，最大可支持2TB的文件系统，至linux核心2.6版时，扩展到可支持32TB。其他的实现包括GNU Hurd，MacOS X(第3方)，Darwin(第3方)，BSD。EXT2为数个LINUX发行版的默认文件系统，如Debian、Red Hat Linux等。在EXT2文件系统中，文件由inode(包含有文件的所有信息)进行唯一标识。EXT2文件系统采用三级间接块来存储数据块指针，并以块(block，默认为1KB)为单位分配空间。在EXT2文件系统中，所有元数据结构的大小均基于“块”，而不是“扇区”。块的大小随文件系统的大小而有所不同。而一定数量的块又组成一个块组，每个块组的起始部分有多种多样的描述该块组各种属性的元数据结构。IMGFS是一种镜像文件系统，采用32位的文件分配表，使其对磁盘的管理能力大大增强，突破了FAT16对每一个分区的容量只有2GB的限制。文件系统由主引导区及保留扇区，文件分配表1，文件分配表和数据区组成，该类型的文件系统主要用来存放系统镜像文件。操作包含文件时，需要预先把文件系统挂载到系统后方能读写。

结合文件系统知识，在确认目录架构和INODE对应关系后，编写脚本工具，剔除IMGFS文件系统和EXT2文件系统，如图2所示，具体过程如下：对于IMGFS文件系统：S10211、查找根目录；S10212、查找文件或目录；S10213、定位文件字节地址；S10214、判断是否结束，若结束，若未结束则返回执行步骤S10213。对于EXT2文件系统：S10221、查找文件inode；S10222、查找文件数据块；S10223、判断是否一个文件结束，若未结束则返回执行步骤S10222，若结束则执行步骤S10224；S10224、判断是否所有文件结束，若未结束则返回执行步骤S10221。

在剔除IMGFS文件系统和EXT2文件系统完成后，构造QNX虚拟机：根据低段空间显示的关键字“QNX”，结合QNX官网查询的信息比对，确认分析样本数据运行在QNX操作系统下。并且对于分析样本高段数据未识别的空间，初步定性为QNX6文件系统。由于QNX6文件系统格式未公布，只能尝试其他途径，或借助经验猜测其数据结构。

QNX6文件系统是Power-Safe文件系统，能在电源异常时不丢失或损坏数据，因而会引入COW机制，导致数据结构远比常规文件系统的复杂。成功搭建一个可运行QNX程序的虚拟机环境。宿主机使用WindowsXP操作系统：一、安装并运行vmware workstation 10；二、下载开源QNX6.5镜像文件；三、在vmware中利用QNX镜像文件创建一个虚拟机。

S103、标识QNX6文件系统的头和尾。具体包括：S1031、在Windows系统中，使用16进制文件编辑工具打开二进制文件；S1032、手动定位到QNX6文件系统文件头位置0x20000000；S1033、手动定位到QNX6文件系统文件尾位置0x3FFFFFFF。

S104、截取QNX6文件系统头和尾包括的二进制文件。

S105、安装QNX6虚拟机。

S106、在所述QNX6虚拟机中挂载步骤S104中的二进制文件。

把步骤S104中截取的二进制文件拷到QNX虚拟机的根目录下；使用mount–t qnx6命令把所述二进制文件挂载到系统；进入文件系统即可以查看到以下文件列表信息。

S107、读取QNX6文件系统的内容。

由于QNX6文件系统是一种特殊的、安全的文件系统，它的数据结构、工作原理对外界都不开放，与常用的文件系统也不相同。通过常用的分析系统分析技术无法正确读取文件系统信息。本发明提供了一种便捷读取QNX6文件系统内容的方法，该方法结合了虚拟机技术和QNX6的unix操作系统的文件系统可以动态手工挂载的特点，分析剔除IMGFS文件系统和EXT2文件系统，进而定位出QNX6文件系统的头尾，截取并挂载到虚拟机中进行目录和文件的内容读取。

本领域普通技术人员可以理解实现上述实施例中的全部或部分是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体或随机存储记忆体等。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (4)

1.一种QNX6文件系统读取方法，其特征在于，包括如下步骤：

S101、从flash中获取二进制数据文件；

S102、剔除IMGFS文件系统和EXT2文件系统；

S103、标识QNX6文件系统的头和尾；

S104、截取QNX6文件系统头和尾包括的二进制文件；

S105、安装QNX6虚拟机；

S106、在所述QNX6虚拟机中挂载步骤S104中的二进制文件；

S107、读取QNX6文件系统的内容；

其中，所述步骤S102包括剔除IMGFS文件系统和EXT2文件系统：

对于所述IMGFS文件系统：S10211、查找根目录；S10212、查找文件或目录；S10213、定位文件字节地址；S10214、判断是否结束，若结束则执行步骤S103，若未结束则返回执行步骤S10213；

对于所述EXT2文件系统：S10221、查找文件inode；S10222、查找文件数据块；S10223、判断是否一个文件结束，若结束则执行步骤S10224,若未结束则返回执行步骤S10222；S10224、判断是否所有文件结束，若结束则执行步骤S103，若未结束则返回执行步骤S10221；

所述步骤S103具体包括：S1031、在Windows系统中，使用16进制文件编辑工具打开二进制文件；S1032、手动定位到QNX6文件系统文件头位置0x20000000；S1033、手动定位到QNX6文件系统文件尾位置0x3FFFFFFF。

2.根据权利要求1所述的QNX6文件系统读取方法，其特征在于，所述步骤S101包括：从flash中获取二进制数据文件，采用初步数据阅读、查找关键字方法、剥离操作系统、外部驱动在内的干扰代码，采用Hexprobe分析软件初步识别出ELF文件列表、XML文件列表以及常规可识别的文件列表。

3.根据权利要求1所述的QNX6文件系统读取方法，其特征在于，所述步骤S103之前还包括：搭建一个可运行QNX程序的虚拟机环境，宿主机使用WindowsXP操作系统：一、安装并运行vmware workstation 10；二、下载开源QNX6.5镜像文件；三、在vmware中利用QNX镜像文件创建一个虚拟机。

4.根据权利要求1所述的QNX6文件系统读取方法，其特征在于，所述步骤S106具体包括：把步骤S104中截取的二进制文件拷到QNX虚拟机的根目录下；使用mount–t qnx6命令把所述二进制文件挂载到系统。