[发明专利]恢复Ext3/Ext4中已彻底删除文件的方法

说明书

本发明提供了一种恢复Ext3/Ext4中已彻底删除文件的方法，属于数据恢复领域，具体如下：1.对于.journal文件，采用先查找所有事务提交的数据块的方式，以大大提高恢复的效率；2.支持完整事务和已被覆盖事务中数据块的查找，使得参考数据块的基数大大增加，从而大大提高恢复成功率；3.对于已被其它文件占用的节点，采用以创建时间筛选的方式，定位到之前的删除节点，使得删除文件节点被占用时，恢复该删除文件成为可能。

技术领域

本发明属于数据恢复领域，具体涉及一种恢复Ext3/Ext4中已彻底删除文件的方法。

背景技术

对于Ext3/Ext4文件系统来说，彻底删除一个文件后，由于存储文件的节点信息被破坏，使其无法通过常规方式进行恢复。Ext3/Ext4文件系统是一种日志型文件系统，对文件系统的写操作，都会通过日志文件进行预写，因此，通过日志文件，就有极大的几率恢复彻底执行删除操作的文件。目前，部分专门针对Ext3/Ext4文件系统的恢复技术，其删除文件的恢复率普遍都不高，且存在着以下弊端：

1.采用上下文的节点信息进行类比，使用小范围的Raw扫描方式，使得恢复的文件不确定因素增多，成功率极低。

2.采用基于.journal的方式进行恢复，但只对完整的事务支持，被覆盖的事务无法进行数据块定位，使得恢复的成功率底下。

3.对于已被其它文件占用的节点，显得束手无策。

发明内容

本发明针对现有技术的不足，提供了一种恢复Ext3/Ext4中已彻底删除文件的方法，能够解决现有技术恢复Ext4中已彻底删除的文件成功率低的问题。

为解决以上问题，本发明采用的技术方案如下：一种恢复Ext3/Ext4中已彻底删除文件的方法，包括以下步骤：

101-根据节点号，计算节点所在的块号以及块内偏移，并读取该节点的信息，获取节点属性、节点UUID、GID、创建时间、文件版本及文件大小；

102-判断.journal文件是否已解析完成，如果数据块链非为空，则执行104；否则，执行103；

103-解析.journal文件，并输出.journal中所有的数据块，输出的数据块分为两种，一种是带有逻辑块号的数据块，另一种是不带逻辑块号的数据块，输出的数据块的结构定义为【数据逻辑块号，.journal文件中的相对块号，是否有逻辑块号标记】；

104-依次遍历输出的数据块链，判断输出的数据块链中，是否存在下一个带有逻辑块号的数据块，如果是，取出该数据块，执行105；否则，执行109；

105-将104取出的块号与101计算得到的块号进行比较，如果相等，执行106；否则执行104；

106-根据.journal文件中的相对块号读出该数据块，并根据101中计算的节点偏移量，定位.journal中的节点信息，然后和101中的节点信息进行匹配，如果匹配成功，则执行107；如果匹配失败，则执行104；

107-根据.journal中匹配得到的节点，读取该节点中含有的文件块链，如果读取成功，执行108；否则执行104；

108-检查所有读取到的块是否都是空闲块，将不是空闲块的块号，从文件块链中去除，然后输出文件块链并结束；

109-依次遍历输出的数据块链，判断输出的数据块链中，是否存在下一个不带逻辑块号的数据块，如果是，取出该数据块，执行106；否则，结束。

作为优选，103的具体步骤如下：