[发明专利]一种JFS文件系统的删除数据恢复方法

说明书

本发明公开了一种JFS文件系统的删除数据恢复方法，包括：获取日志记录，解析JFS文件系统；确定日志记录的子文件项挂载在解析得到的目录项中；比较解析得到的目录项中的子文件项与日志记录中的子文件项；获取解析得到的目录项中的子文件项与日志记录中的子文件项不相同部分的日志记录中的inode信息；根据上述inode信息中的存储地址获取删除文件的文件内容。能够根据JFS文件系统内嵌的日志记录得到删除数据对应的存储地址，根据该存储地址找到删除的数据并进行恢复。

技术领域

本发明涉及电子取证领域，尤其涉及一种JFS文件系统的删除数据恢复方法。

背景技术

JFS(Journaling files system)也称为IBM日志文件系统，是由IBM创建的一种日志文件系统。JFS文件系统是基于日志的字节级的文件系统，该文件系统是为面向事务的高性能系统而开发的。它具有可伸缩性和健壮性，与非日志文件系统相比，它具有快速重启能力。

JFS文件系统经过移植，现在广泛应用与Linux、Unix操作系统中，其数据恢复技术在信息安全领域属于一个备受关注热点。现有的JFS文件系统的删除数据恢复技术，都必须是在Linux操作系统下，通过JFS文件系统提供的日志导出工具，导出日志文件手动恢复删除文件，这就必然导致效率低下，准确度不高。

发明内容

本发明所要解决的技术问题是：如何有效、准确的恢复JFS文件系统的删除数据。

为了解决上述技术问题，本发明采用的技术方案为：

一种JFS文件系统的删除数据恢复方法，包括：

获取日志记录，解析JFS文件系统；

确定日志记录的子文件项挂载在解析得到的目录项中；

比较解析得到的目录项中的子文件项与日志记录中的子文件项；

获取解析得到的目录项中的子文件项与日志记录中的子文件项不相同部分的日志记录中的inode信息；

根据上述inode信息中的存储地址获取删除文件的文件内容。

本发明的有益效果在于：获取日志记录，解析JFS文件系统，从而能够对日志记录的内容和解析后JFS文件系统的内容进行比较；如果日志记录中的内容未挂载在该解析得到的目录项，说明该日志记录不是解析得到的目录项对应的日志记录，从而通过确定挂载在解析得到的目录项中的日志记录的子文件项，确保该日志记录为解析得到的目录项对应的日志记录；比较解析得到的目录项中的子文件项和日志记录中的子文件项，如果两者不同，说明日志记录中存在差异的子文件项对应的内容指向JFS文件系统删除的文件对应的内容，因此获取该存在差异部分的日志记录的inode信息，根据该inode信息中指向文件内容的存储地址即可获取删除文件的文件内容，有效、准确地恢复JFS文件系统的删除数据。

附图说明

图1为本发明实施例一的JFS文件系统的删除数据恢复方法的JFS文件系统的布局图；

图2为本发明实施例一的JFS文件系统的删除数据恢复方法的JFS文件系统的内嵌日志结构图；

图3为本发明实施例一的JFS文件系统的删除数据恢复方法的流程图；

图4为本发明实施例二的JFS文件系统的删除数据恢复方法的JFS文件系统的文件恢复流程图；

图5为本发明实施例三的“恢复删除文件”的具体流程的流程图。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以说明。