[发明专利]一种MFT碎片的恢复方法、终端设备及存储介质

权利要求书

1.一种MFT碎片的恢复方法，其特征在于，包括以下步骤：

S1：获取磁盘的分区大小PartitionSize，并设定当前搜索位置CurrentOffset为0；

S2：判断当前搜索位置CurrentOffset是否大于或等于分区大小PartitionSize，如果是，进入S9；否则，进入S3；

S3：从磁盘分区的当前搜索位置CurrentOffset处读取1024个字节的数据块，并判断读取的1024个字节的数据块是否属于MFT文件记录块，如果否，更新当前搜索位置CurrentOffset的值为在其原有值的基础上增加512后，返回S2；否则，进入S4；

S4：设定碎片起始位置FragmentStart为当前搜索位置CurrentOffset；

S5：设定碎片结束位置FragmentEnd为当前搜索位置CurrentOffset+1023，同时更新当前搜索位置CurrentOffset的值为在其原有值的基础上增加1024；

S6：判断当前搜索位置CurrentOffset是否大于或等于分区大小PartitionSize，如果是，进入S8；否则，进入S7；

S7：从磁盘分区的当前搜索位置CurrentOffset处读取1024个字节的数据块，并判断读取的1024个字节的数据块是否属于MFT文件记录块，如果是，返回S5；否则，进入S8；

S8：将碎片起始位置FragmentStart与碎片结束位置FragmentEnd作为一个元素后添加至碎片集合FR中，更新当前搜索位置CurrentOffset的值为在其原有值的基础上增加512后，返回S2；

S9：将碎片集合FR中的每个碎片按照MFT文件记录结构进行解析，并根据解析后的每个碎片对应的文件记录集合FS生成文件记录集合序列FSS；

S10：判断碎片集合FR是否为空，如果是，结束；否则，进入S11；

S11：从碎片集合FR中选取任一元素剪切至文件碎片集合FRTmp中，并将该元素对应的文件记录从文件记录集合序列FSS中删除；

S12：判断文件碎片集合FRTmp中是否存在一元素，使其与碎片集合FR中的另一元素满足属于同个MFT文件，如果存在，进入S13；如果不存在，将文件碎片集合FRTmp中的各元素重组为一个MFT文件，清空文件碎片集合FRTmp，返回S10；

S13：将文件碎片集合FRTmp中的该元素剪切至文件碎片集合FRTmp中，并将该元素对应的文件记录从文件记录集合序列FSS中删除，返回S12。

2.根据权利要求1所述的MFT碎片的恢复方法，其特征在于：判断读取的1024个字节的数据块是否属于MFT文件记录块的方法为：

按照NTFS文件记录的结构对数据块DataBuff进行解析，以获得MFT标识MFTMagic、文件记录时间长度FileRecordRealLenth以及文件记录分配长度FileRecordAllocLenth；当同时满足以下三个条件时，则判断数据块DataBuff属于MFT文件记录块；

条件一：DataBuff[30]等于DataBuff[1022]，且DataBuff[31]等于DataBuff[1023]；其中DataBuff[i]表示数据块DataBuff中的第i个字节，i为1-1024之间的整数；

条件二：MFT标识MFTMagic为FILE；

条件三：文件记录时间长度FileRecordRealLenth小于或等于文件记录分配长度FileRecordAllocLenth，且文件记录分配长度FileRecordAllocLenth等于1024。