CN114296980A - 一种基于受损squashfs文件系统识别检测与提取的方法和系统 - Google Patents

Abstract

本发明给出了一种基于受损squashfs文件系统识别检测与提取的方法和系统，包括根据squashfs文件系统结构中的压缩数据块的头部特征，扫描压缩数据块并对其进行解码再匹配出所述压缩数据块对应的压缩类型；根据所述压缩数据块的inode table数据块和directory table数据块的特征，在所述区域范围中将inode table数据块和directory table数据块进行分离并提取出来；根据压缩数据块的frament table数据块的特征，frament table数据块的frament索引结构进行索引验证，从而确定并提取出squashfs文件系统数据中的frament table数据块；根据提取出的inode table数据块、directory table数据块及frament table数据块对squashfs文件系统数据进行识别检测与修复。本发明能最大程度上实现对受损文件系统的修复与提取，为后续进一步的数据分析提供基础。

Description

一种基于受损squashfs文件系统识别检测与提取的方法和 系统

技术领域

本发明涉及计算机取证安全技术领域，尤其是一种基于受损squashfs文件系统识别检测与提取的方法和系统。

背景技术

Squashfs是一套供Linux核心使用的只读压缩文件系统。它广泛应用于数据备份，或是系统资源紧张的嵌入式根文件系统等，支持的压缩方式有gzip、lzma1、lzma2(xz)、lz4等。

由于Squashfs数据、目录，节点信息等均被分别压缩存储，当其头部重要索引等元数据参数被覆盖或者受损时导致数据无法恢复。由于squashfs对数据、目录、节点信息等实现分别压缩管理，文件系统头部只保留其索引信息、压缩类型、压缩块大小等，一旦头部参数受损或者被覆盖极难恢复。目前，缺乏针对squashfs文件系统文件头部受损的恢复方法。

本方案分析了数据、目录、节点信息等压缩数据在文件系统中的分布结构及其相关元数据特征，在各压缩类型数据特征的基础上实现对压缩编码类型、数据、目录、节点信息等一系列区域进行识别检测最终实现对受损文件系统修复与提取。

发明内容

本发明提出了一种基于受损squashfs文件系统识别检测与提取的方法和系统，以解决上文提到的现有技术的缺陷。

在一个方面，本发明提出了一种基于受损squashfs文件系统识别检测与提取的方法，该方法包括以下步骤：

S1：根据squashfs文件系统结构中的压缩数据块的头部特征，扫描压缩数据块并对其进行解码再匹配出所述压缩数据块对应的压缩类型；

S2：根据所述压缩数据块的inode table数据块和directory table数据块的特征，确定squashfs文件系统数据中的inode table数据块和directory table数据块的区域范围；再结合inode table数据块解压后获得的节点信息进行校验从而确定inode table数据块的区域的边界点，在所述区域范围中将inode table数据块和directory table数据块进行分离并提取出来；

S3：根据所述压缩数据块的frament table数据块的特征，结合解压后的framenttable数据块的frament索引结构进行索引验证，从而确定并提取出squashfs文件系统数据中的frament table数据块；

S4：根据提取出的inode table数据块、directory table数据块及frament table数据块对squashfs文件系统数据进行识别检测与修复。

以上方法分析了数据、目录、节点信息等压缩数据在文件系统中的分布结构及其相关元数据特征，在各压缩类型数据特征的基础上实现对压缩编码类型、数据、目录、节点信息等区域进行识别检测最终实现对受损squashfs文件系统修复与提取。

在具体的实施例中，所述S1还包括：匹配出所述压缩数据块对应的压缩类型后，判断是否匹配出正确的压缩类型；若是，则执行S2；若否，则重复执行所述S1。

在具体的实施例中，所述根据所述压缩数据块的inode table数据块和directorytable数据块的特征，确定squashfs文件系统数据中的inode table数据块和directorytable数据块的区域范围，具体包括：

根据所述压缩数据块的inode table数据块和directory table数据块的特征得出实际可解压的压缩数据长度compress_len，同时根据压缩数据块的头部特征获取后续压缩块字节长度值Pre_len；

结合所述压缩数据块解压后的数据信息，同时进行匹配检测将满足Pre_len＝compress_len的数据区域作为inode table数据块和directory table数据块的区域范围。

在具体的实施例中，所述S2还包括：所述结合inode table数据块解压后获得的节点信息进行校验后，判断是否校验完毕；若是，则执行后续步骤，若否，则继续进行校验。

在具体的实施例中，所述根据所述压缩数据块的frament table数据块的特征，结合解压后的frament table数据块的frament索引结构进行索引验证，具体包括：

根据所述压缩数据块的frament table数据块的特征得出实际可解压的压缩数据长度compress_len，同时根据压缩数据块的头部特征获取后续压缩块字节长度值Pre_len；

对满足Pre_len不等于compress_len的数据区域，结合解压后的frament table数据块的frament索引结构进行索引验证，将满足frament索引结构的区域作为framenttable数据块的区域。

在具体的实施例中，S3还包括：所述结合解压后的frament table数据块的frament索引结构进行索引验证后，判断索引验证是否结束；若是，则执行后续步骤，若否，则继续进行索引验证。

在具体的实施例中，所述数据压缩类型包括：gzip、lzma1、lzma2和lz4。

在具体的实施例中，所述inode table数据块解压后获得的节点信息具体包括：每个节点的节点类型、mode、uid、guid、修改时间和节点号。

根据本发明的第二方面，提出了一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被计算机处理器执行时实施上述方法。

根据本发明的第三方面，提出一种基于受损squashfs文件系统识别检测与提取的系统，该系统包括：

压缩数据类型匹配模块：配置用于根据squashfs文件系统结构中的压缩数据块的头部特征，扫描压缩数据块并对其进行解码再匹配出所述压缩数据块对应的压缩类型；

节点信息校验模块：配置用于根据所述压缩数据块的inode table数据块和directory table数据块的特征，确定squashfs文件系统数据中的inode table数据块和directory table数据块的区域范围；再结合inode table数据块解压后获得的节点信息进行校验从而确定inode table数据块的区域的边界点，在所述区域范围中将inode table数据块和directory table数据块进行分离并提取出来；

索引验证模块：配置用于根据所述压缩数据块的frament table数据块的特征，结合解压后的frament table数据块的frament索引结构进行索引验证，从而确定并提取出squashfs文件系统数据中的frament table数据块；

检测与修复模块：配置用于根据提取出的inode table数据块、directory table数据块及frament table数据块对squashfs文件系统数据进行识别检测与修复。

本发明根据squashfs文件系统结构中的压缩数据块的头部特征，扫描压缩数据块并对其进行解码再匹配出所述压缩数据块对应的压缩类型；根据所述压缩数据块的inodetable数据块和directory table数据块的特征，在所述区域范围中将inode table数据块和directory table数据块进行分离并提取出来；根据所述压缩数据块的frament table数据块的特征，结合解压后的frament table数据块的frament索引结构进行索引验证，从而确定并提取出squashfs文件系统数据中的frament table数据块；根据提取出的inodetable数据块、directory table数据块及frament table数据块对squashfs文件系统数据进行识别检测与修复。本发明通过识别squashfs文件系统中数据、目录、节点信息等区域元数据压缩块，实现了对受损文件系统的关键区域进行识别检测与提取。

附图说明

包括附图以提供对实施例的进一步理解并且附图被并入本说明书中并且构成本说明书的一部分。附图图示了实施例并且与描述一起用于解释本发明的原理。将容易认识到其它实施例和实施例的很多预期优点，因为通过引用以下详细描述，它们变得被更好地理解。通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1是本申请可以应用于其中的示例性系统架构图；

图2是本发明的一个实施例的一种基于受损squashfs文件系统识别检测与提取的方法的流程图；

图3是本发明的一个具体的实施例的squashfs文件系统结构框图；

图4是本发明的一个具体的实施例的datablocks&fragments结构框图；

图5是本发明的一个具体的实施例的inode table结构框图；

图6是本发明的一个具体的实施例的inode节点信息结构框图；

图7是本发明的一个具体的实施例的frament table索引信息结构框图；

图8是本发明的一个具体的实施例的squashfs关键区域识别检测示意图；

图9是本发明的一个具体的实施例的squashfs文件系统数据识别检测与修复流程图；

图10是本发明的一个实施例的一种基于受损squashfs文件系统识别检测与提取的系统的框架图；

图11是适于用来实现本申请实施例的电子设备的计算机系统的结构示意图。

具体实施方式

下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

图1示出了可以应用本申请实施例的一种基于受损squashfs文件系统识别检测与提取的方法的示例性系统架构100。

如图1所示，系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种应用，例如数据处理类应用、数据可视化类应用、网页浏览器应用等。

终端设备101、102、103可以是硬件，也可以是软件。当终端设备101、102、103为硬件时，可以是各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。当终端设备101、102、103为软件时，可以安装在上述所列举的电子设备中。其可以实现成多个软件或软件模块(例如用来提供分布式服务的软件或软件模块)，也可以实现成单个软件或软件模块。在此不做具体限定。

服务器105可以是提供各种服务的服务器，例如对终端设备101、102、103上展示的squashfs文件系统数据提供支持的后台信息处理服务器。后台信息处理服务器可以对获取的frament索引结构进行处理，并生成处理结果(例如检测与修复结果)。

需要说明的是，本申请实施例所提供的方法可以由服务器105执行，也可以由终端设备101、102、103执行，相应的装置一般设置于服务器105中，也可以设置于终端设备101、102、103中。

需要说明的是，服务器可以是硬件，也可以是软件。当服务器为硬件时，可以实现成多个服务器组成的分布式服务器集群，也可以实现成单个服务器。当服务器为软件时，可以实现成多个软件或软件模块(例如用来提供分布式服务的软件或软件模块)，也可以实现成单个软件或软件模块。在此不做具体限定。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

根据本发明的一个实施例的一种基于受损squashfs文件系统识别检测与提取的方法，图2示出了根据本发明的实施例的一种基于受损squashfs文件系统识别检测与提取的方法的流程图。如图2所示，该方法包括以下步骤：

S1：根据squashfs文件系统结构中的压缩数据块的头部特征，扫描压缩数据块并对其进行解码再匹配出所述压缩数据块对应的压缩类型；

S2：根据所述压缩数据块的inode table数据块和directory table数据块的特征，确定squashfs文件系统数据中的inode table数据块和directory table数据块的区域范围；再结合inode table数据块解压后获得的节点信息进行校验从而确定inode table数据块的区域的边界点，在所述区域范围中将inode table数据块和directory table数据块进行分离并提取出来；

S3：根据所述压缩数据块的frament table数据块的特征，结合解压后的framenttable数据块的frament索引结构进行索引验证，从而确定并提取出squashfs文件系统数据中的frament table数据块；

S4：根据提取出的inode table数据块、directory table数据块及frament table数据块对squashfs文件系统数据进行识别检测与修复。

在具体的实施例中，所述S1还包括：匹配出所述压缩数据块对应的压缩类型后，判断是否匹配出正确的压缩类型；若是，则执行S2；若否，则重复执行所述S1。

在具体的实施例中，所述根据所述压缩数据块的inode table数据块和directorytable数据块的特征，确定squashfs文件系统数据中的inode table数据块和directorytable数据块的区域范围，具体包括：

根据所述压缩数据块的inode table数据块和directory table数据块的特征得出实际可解压的压缩数据长度compress_len，同时根据压缩数据块的头部特征获取后续压缩块字节长度值Pre_len；

结合所述压缩数据块解压后的数据信息，同时进行匹配检测将满足Pre_len＝compress_len的数据区域作为inode table数据块和directory table数据块的区域范围。

在具体的实施例中，所述S2还包括：所述结合inode table数据块解压后获得的节点信息进行校验后，判断是否校验完毕；若是，则执行后续步骤，若否，则继续进行校验。

在具体的实施例中，所述根据所述压缩数据块的frament table数据块的特征，结合解压后的frament table数据块的frament索引结构进行索引验证，具体包括：

根据所述压缩数据块的frament table数据块的特征得出实际可解压的压缩数据长度compress_len，同时根据压缩数据块的头部特征获取后续压缩块字节长度值Pre_len；

对满足Pre_len不等于compress_len的数据区域，结合解压后的frament table数据块的frament索引结构进行索引验证，将满足frament索引结构的区域作为framenttable数据块的区域。

在具体的实施例中，S3还包括：所述结合解压后的frament table数据块的frament索引结构进行索引验证后，判断索引验证是否结束；若是，则执行后续步骤，若否，则继续进行索引验证。

在具体的实施例中，所述数据压缩类型包括：gzip、lzma1、lzma2和lz4。

在具体的实施例中，所述inode table数据块解压后获得的节点信息具体包括：每个节点的节点类型、mode、uid、guid、修改时间和节点号。

下面结合squashfs文件系统结构，并结合一个具体的实施例来阐述本发明的方法。

文件系统结构

图3是本发明的一个具体的实施例的squashfs文件系统结构框图，如图3所示squashfs文件系统其结构分别为Superblock、Datablocks&Fragments、Inode Table、Iirectory Table、Frament Table等。squashfs文件系统结构具体如下：

Superblock：squashfs的头部区域为超级块，包括squashfs的Magic(hsqs),文件节点数、此文件系统创建时间、块大小、分段数(fragments)、文件系统所使用的压缩方法、文件系统版本及数据、目录、节点信息区域起始索引信息等。

datablocks&fragments：主要存储有一系列文件内容的压缩数据块及碎片数据的压缩数据块；图4是本发明的一个具体的实施例的datablocks&fragments结构框图，datablocks&fragments的压缩块结构特征如图4所示，包括压缩类型相应特征字段(以gzip压缩类型为例其值为0x78DA，以XZ压缩类型为例其值为0XFD37)及后续压缩数据。

inode table：主要存储一系列的文件目录链接文件等对应节点信息的压缩数据，其压缩块结构特征如图5所示，图5是本发明的一个具体的实施例的inode table结构框图，包括后续数据是否为压缩标志位，后续数据长度、压缩类型相应特征字段(以gzip压缩类型为例其值为0xFD78，以XZ压缩类型为例其值为0XFD37)及后续压缩数据。图6是本发明的一个具体的实施例的inode节点信息结构框图，如图6所示inode节点信息包括节点类型，mode，uid，gid，修改时间、节点号等信息。

directory table：主要存储一系列的文件目录名长度、文件名目录名等数据信息。

frament table：主要存储一系列fragments压缩块对应的索引结构的压缩数据，其压缩块结构特征如图4所示，其framents table解压的数据结构如图7所示结构，图7是本发明的一个具体的实施例的frament table索引信息结构框图，包括一系列的fragments压缩块位置信息、压缩块的大小及未使用的长度。

图8是本发明的一个具体的实施例的squashfs关键区域识别检测示意图，如图8所示：其识别检测原理为扫描并提取各数据压缩类型(如gzip、lzma1、lzma2(xz)、lz4等)特征字段相应数据块进行解压缩匹配确定压缩类型；根据inode table和directory table压缩块的特征(是否为压缩标志位，后续数据长度、压缩类型相应特征字段)确定inode table和directory table区域，结合inode table解压后的系列节点信息进行校验确认inodetable区域的边界点分离出inode table和directory table区域数据；根据frament table压缩块的特征结合解压后的frament索引结构进行索引验证确认提取出frament table，最终根据node table、directory table及frament table实现squashfs各关键区域的识别检测与修复。

图9是本发明的一个具体的实施例的squashfs文件系统数据识别检测与修复流程图，在本实施例中，具体检测与提取流程如下：

1、先进行概念假设如下：

1)假设HT＝{HT1,HT2,HT3,...,HTN}表示gzip、lzma1、lzma2(xz)、lz4等压缩类型压缩块头部特征的集合,其中每个元素代表其压缩类型对应的头部特征数据；

2)假设CT＝{CT1,CT2,CT3,...,CTN}表示gzip、lzma1、lzma2(xz)、lz4等压缩类型的集合。其中每个元素表示一种压缩类型；

3)假设inode table和directory table压缩数据块的判断规则为I DT,其中Pre_len表示HT头部特征前的表示后续压缩块字节长度值；compress_len表示实际可解压压缩数据长度，对满足Pre_len＝compress_len并结合解压数据信息等条件判定为inode table和directory table区域压缩块；

4)假设BK＝{BK1,BK2,BK3,...,BKN}表示inode table和directory table压缩数据块集合,其中每个元素代表一个inode table或directory table压缩数据块；

5)假设IBK＝{IBK1,IBK2,IBK3,...,IBKN}表示inode table压缩数据块集合,其中每个元素代表一个inode table压缩数据块；

6)假设IBD＝{IBD1,IBD2,IBD3,...,IBDN}表示inode table压缩数据块解压后INODE的集合,其中每个元素代表一个inode节点，分别表示为节点类型，mode，uid，guid，修改时间，节点号等；

7)假设DBK＝{DBK1,DBK2,DBK3,...,DBKN}表示directory table压缩数据块集合,其中每个元素代表一个directory table压缩数据块；

8)假设BFK＝{BFK1,BFK2,BFK3,...,BFKN}表示fragments区域压缩数据块集合，其中每个元素代表一个fragments压缩数据块；

9)假设frament table压缩数据块的判断规则为FDT,其中Pre_len表示HT头部特征前的表示后续压缩块字节长度值；compress_len表示实际可解压压缩数据长度，对满足Pre_len不等于compress_len条件，同时针frament table解压数据中索引值结合BFK进行校验判定为frament table区域压缩块；

10)假设FBK＝{FBK1,FBK2,FBK3,...,FBKN}表示frament table压缩数据块集合,其中每个元素代表一个frament table压缩数据块；

2、根据上述概念假设进行识别检测与提取流程方法分析：

1)根据各压缩类型数据块头部特征记为HT，扫描数据块进行解压缩匹配出压缩类型记为CT；

2)判断是否匹配出正确压缩类型，如果是则继续下一步骤，如果不是继续上一步骤；

3)根据CT按照规则I DT扫描检测inode table和directory table区域数据块，判断扫描是否结束，如果是则跳转到下一步骤，如果否则继续当前步骤；

4)对扫描到的inode table和directory table区域数据块记为BK；

5)对BK按照IBD的节点参数进行匹配校验并分离出inode table区域数据块和directory table，分别记为IBK和DBK；

6)根据CT扫描IBK和DBK区域后面区域数据并按照FDT规则进行判断，同时记为FBK；

7)根据IBK、DBK及FBK完成对头部受损squashfs文件系统进行识别检测与提取。

图10示出了本发明的一个实施例的一种基于受损squashfs文件系统识别检测与提取的系统的框架图。该系统包括压缩数据类型匹配模块1001、节点信息校验模块1002、索引验证模块1003和检测与修复模块1004。

在具体的实施例中，压缩数据类型匹配模块1001被配置用于根据squashfs文件系统结构中的压缩数据块的头部特征，扫描压缩数据块并对其进行解码再匹配出所述压缩数据块对应的压缩类型；

节点信息校验模块1002被配置用于根据所述压缩数据块的inode table数据块和directory table数据块的特征，确定squashfs文件系统数据中的inode table数据块和directory table数据块的区域范围；再结合inode table数据块解压后获得的节点信息进行校验从而确定inode table数据块的区域的边界点，在所述区域范围中将inode table数据块和directory table数据块进行分离并提取出来；

索引验证模块1003被配置用于根据所述压缩数据块的frament table数据块的特征，结合解压后的frament table数据块的frament索引结构进行索引验证，从而确定并提取出squashfs文件系统数据中的frament table数据块；

检测与修复模块1004被配置用于根据提取出的inode table数据块、directorytable数据块及frament table数据块对squashfs文件系统数据进行识别检测与修复。

本系统根据squashfs文件系统结构中的压缩数据块的头部特征，扫描压缩数据块并对其进行解码再匹配出所述压缩数据块对应的压缩类型；根据所述压缩数据块的inodetable数据块和directory table数据块的特征，在所述区域范围中将inode table数据块和directory table数据块进行分离并提取出来；根据压缩数据块的frament table数据块的特征，frament table数据块的frament索引结构进行索引验证，从而确定并提取出squashfs文件系统数据中的frament table数据块；根据提取出的inode table数据块、directory table数据块及frament table数据块对squashfs文件系统数据进行识别检测与修复。本发明通过识别squashfs文件系统中数据、目录、节点信息等区域元数据压缩块，实现了对受损文件系统的关键区域进行识别检测与提取。

下面参考图11，其示出了适于用来实现本申请实施例的电子设备的计算机系统1100的结构示意图。图11示出的电子设备仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图11所示，计算机系统1100包括中央处理单元(CPU)1101，其可以根据存储在只读存储器(ROM)1102中的程序或者从存储部分1108加载到随机访问存储器(RAM)1103中的程序而执行各种适当的动作和处理。在RAM1103中，还存储有系统1100操作所需的各种程序和数据。CPU 1101、ROM 1102以及RAM 1103通过总线1104彼此相连。输入/输出(I/O)接口1105也连接至总线1104。

以下部件连接至I/O接口1105：包括键盘、鼠标等的输入部分1106；包括诸如液晶显示器(LCD)等以及扬声器等的输出部分1107；包括硬盘等的存储部分1108；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分1109。通信部分1109经由诸如因特网的网络执行通信处理。驱动器1110也根据需要连接至I/O接口1105。可拆卸介质1111，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器1110上，以便于从其上读出的计算机程序根据需要被安装入存储部分1108。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分1109从网络上被下载和安装，和/或从可拆卸介质1111被安装。在该计算机程序被中央处理单元(CPU)1101执行时，执行本申请的方法中限定的上述功能。需要说明的是，本申请所述的计算机可读存储介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读存储介质，该计算机可读存储介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本申请的操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元也可以设置在处理器中，并且这些单元的名称在某种情况下并不构成对该单元本身的限定。

本发明的实施例还涉及一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被计算机处理器执行时实施上文中的方法。该计算机程序包含用于执行流程图所示的方法的程序代码。需要说明的是，本申请的计算机可读介质可以是计算机可读信号介质或者计算机可读介质或者是上述两者的任意组合。

本发明根据squashfs文件系统结构中的压缩数据块的头部特征，扫描压缩数据块并对其进行解码再匹配出所述压缩数据块对应的压缩类型；根据所述压缩数据块的inodetable数据块和directory table数据块的特征，在所述区域范围中将inode table数据块和directory table数据块进行分离并提取出来；根据压缩数据块的frament table数据块的特征，frament table数据块的frament索引结构进行索引验证，从而确定并提取出squashfs文件系统数据中的frament table数据块；根据提取出的inode table数据块、directory table数据块及frament table数据块对squashfs文件系统数据进行识别检测与修复。本发明通过识别squashfs文件系统中数据、目录、节点信息等区域元数据压缩块，实现了对受损文件系统的关键区域进行识别检测与提取。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离上述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (10)

1.一种基于受损squashfs文件系统识别检测与提取的方法，其特征在于，包括以下步骤：

S1：根据squashfs文件系统结构中的压缩数据块的头部特征，扫描压缩数据块并对其进行解码再匹配出所述压缩数据块对应的压缩类型；

S2：根据所述压缩数据块的inode table数据块和directory table数据块的特征，确定squashfs文件系统数据中的inode table数据块和directory table数据块的区域范围；再结合inode table数据块解压后获得的节点信息进行校验从而确定inode table数据块的区域的边界点，在所述区域范围中将inode table数据块和directory table数据块进行分离并提取出来；

S3：根据所述压缩数据块的frament table数据块的特征，结合解压后的framenttable数据块的frament索引结构进行索引验证，从而确定并提取出squashfs文件系统数据中的frament table数据块；

S4：根据提取出的inode table数据块、directory table数据块及frament table数据块对squashfs文件系统数据进行识别检测与修复。

2.根据权利要求1所述的方法，其特征在于，所述S1还包括：匹配出所述压缩数据块对应的压缩类型后，判断是否匹配出正确的压缩类型；若是，则执行S2；若否，则重复执行所述S1。

3.根据权利要求1所述的方法，其特征在于，所述根据所述压缩数据块的inode table数据块和directory table数据块的特征，确定squashfs文件系统数据中的inode table数据块和directory table数据块的区域范围，具体包括：

根据所述压缩数据块的inode table数据块和directory table数据块的特征得出实际可解压的压缩数据长度compress_len，同时根据压缩数据块的头部特征获取后续压缩块字节长度值Pre_len；

结合所述压缩数据块解压后的数据信息，同时进行匹配检测将满足Pre_len＝compress_len的数据区域作为inode table数据块和directory table数据块的区域范围。

4.根据权利要求1所述的方法，其特征在于，所述S2还包括：所述结合inode table数据块解压后获得的节点信息进行校验后，判断是否校验完毕；若是，则执行后续步骤，若否，则继续进行校验。

5.根据权利要求1所述的方法，其特征在于，所述根据所述压缩数据块的framenttable数据块的特征，结合解压后的frament table数据块的frament索引结构进行索引验证，具体包括：

根据所述压缩数据块的frament table数据块的特征得出实际可解压的压缩数据长度compress_len，同时根据压缩数据块的头部特征获取后续压缩块字节长度值Pre_len；

对满足Pre_len不等于compress_len的数据区域，结合解压后的frament table数据块的frament索引结构进行索引验证，将满足frament索引结构的区域作为frament table数据块的区域。

6.根据权利要求1所述的方法，其特征在于，S3还包括：所述结合解压后的framenttable数据块的frament索引结构进行索引验证后，判断索引验证是否结束；若是，则执行后续步骤，若否，则继续进行索引验证。

7.根据权利要求1所述的方法，其特征在于，所述数据压缩类型包括：gzip、lzma1、lzma2和lz4。

8.根据权利要求1所述的方法，其特征在于，所述inode table数据块解压后获得的节点信息具体包括：每个节点的节点类型、mode、uid、guid、修改时间和节点号。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被计算机处理器执行时实施权利要求1至8中任一项所述的方法。

10.一种基于受损squashfs文件系统识别检测与提取的系统，其特征在于，包括：

压缩数据类型匹配模块：配置用于根据squashfs文件系统结构中的压缩数据块的头部特征，扫描压缩数据块并对其进行解码再匹配出所述压缩数据块对应的压缩类型；

节点信息校验模块：配置用于根据所述压缩数据块的inode table数据块和directorytable数据块的特征，确定squashfs文件系统数据中的inode table数据块和directorytable数据块的区域范围；再结合inode table数据块解压后获得的节点信息进行校验从而确定inode table数据块的区域的边界点，在所述区域范围中将inode table数据块和directory table数据块进行分离并提取出来；

索引验证模块：配置用于根据所述压缩数据块的frament table数据块的特征，结合解压后的frament table数据块的frament索引结构进行索引验证，从而确定并提取出squashfs文件系统数据中的frament table数据块；

检测与修复模块：配置用于根据提取出的inode table数据块、directory table数据块及frament table数据块对squashfs文件系统数据进行识别检测与修复。

Images