[发明专利]文件恢复方法、装置及电子设备

说明书

技术领域

本发明涉及计算机数据修复技术领域，尤其是涉及一种文件恢复方法、装置及电子设备。

背景技术

随着个人PC以及智能移动终端的日益普及，随之而来的计算机信息领域的犯罪也愈演愈烈，传统的依赖人工审核或者国外取证软件(如Encase等)因其数据繁杂、隐秘或使用门槛高(专业)等特点严重不符合着国内取证特点，随着计算机网络技术以及大数据技术的不断创新与发展，都迫切的需求国内加快电子数据取证行业的发展。

文件恢复作为电子数据取证的一个重要功能组成，对促进电子数据取证至关重要。当计算机内的文件被有意无意的删除、格式化或遭到病毒破坏、分区被格式化后，若想恢复这些已丢失的文件，均需要进行文件恢复。实际上，操作系统在删除文件时，只是将被删除文件打上了“删除标记”，并将文件数据占用的磁盘空间标记为“空闲”。文件数据并没有被清除，还静静地“躺”在磁盘上。只要删除文件后没有建立新的文件，操作系统没有写入新的数据，这些被删除的文件数据就不会被破坏，就有机会通过一定的技术手段将它们“抢救”出来。

现有的文件恢复方法，对文件进行恢复时，只考虑了当前删除的文件或者格式化文件所在的文件系统类型，因此限制了待恢复文件的文件类型，即仅能恢复本次格式化丢失的文件，而忽略了之前几次格式化的文件，从而导致文件恢复的完整性差、文件恢复率低。

发明内容

有鉴于此，本发明的目的在于提供一种文件恢复方法、装置及电子设备，以使待恢复文件的文件类型不再受限，能够恢复多次格式化丢失的文件，进而提高文件恢复的完整性及文件恢复率。

第一方面，本发明实施例提供了一种文件恢复方法，包括：

选择待恢复文件所在的分区，检测所述分区的文件系统类型是否可被识别；

如果是，则获取Bitmap文件并读取所述Bitmap文件以获得读取结果；

根据所述读取结果，确定所述分区中的可用簇；

扫描所述可用簇中的扇区，根据不同的文件系统类型，识别不同的所述文件系统的格式化文件；

恢复识别出的所述格式化文件。

结合第一方面，本发明实施例提供了第一方面的第一种可能的实施方式，其中，所述扫描所述可用簇中的扇区，根据不同的文件系统类型，识别不同的文件系统的格式化文件包括：

判断当前所述扇区是否存在主文件表MFT，如果是，则确定存在NTFS格式化文件；

如果否，则判断当前所述扇区是否存在FAT目录项与分区表，如果是，则确定存在FAT格式化文件；

如果否，则判断当前所述扇区是否存在ExFAT目录项与大写字符文件，如果是，则确定存在ExFAT格式化文件。

结合第一方面，本发明实施例提供了第一方面的第二种可能的实施方式，其中，所述扫描所述可用簇中的扇区，根据不同的文件系统类型，识别不同的文件系统的格式化文件之前，还包括：

扫描所述可用簇中的扇区，识别并恢复当前的文件系统中的已删除文件。

结合第一方面的第二种可能的实施方式，本发明实施例提供了第一方面的第三种可能的实施方式，其中，所述识别并恢复当前的文件系统中的已删除文件包括：

查找所述可用簇的扇区中是否存在文件索引项；

判断所述文件索引项中的文件项是否被分配；

如果是，则确定所述文件项对应的文件为已删除文件；

恢复所述已删除文件。

结合第一方面，本发明实施例提供了第一方面的第四种可能的实施方式，其中，所述文件系统类型包括：NTFS、FAT、ExFAT；

所述获取Bitmap文件包括：

若所述文件系统类型为NTFS，则读取NTFS文件系统对应的Bitmap文件；

若所述文件系统类型为FAT或者ExFAT，则创建并读取Bitmap文件。

结合第一方面，本发明实施例提供了第一方面的第五种可能的实施方式，其中，所述恢复识别出的所述格式化文件包括：

恢复所述格式化文件至指定的目录下。

结合第一方面，本发明实施例提供了第一方面的第六种可能的实施方式，其中，所述扫描所述可用簇中的扇区之前，还包括：

当检测到所述分区的文件系统类型不可被识别时，确定所述分区中的所有的簇均为可用簇。

第二方面，本发明实施例还提供一种文件恢复装置，包括：

检测模块，用于选择待恢复文件所在的分区，检测所述分区的文件系统类型是否可被识别；