[发明专利]一种MFT碎片的恢复方法、终端设备及存储介质

说明书

本发明涉及一种MFT碎片的恢复方法、终端设备及存储介质，该方法中通过文件记录特征结合MFT数据存储分配特性识别所有的MFT文件碎片，并进一步基于文件ID以及簇大小唯一等特性，对MFT文件碎片进行分类重组，最终实现MFT碎片的恢复。该方法为分区被多次格式化、分区误扩容导致数据覆盖等复杂情况下的数据恢复，提供有效的恢复手段。

技术领域

本发明涉及文件技术领域，尤其涉及一种MFT碎片的恢复方法、终端设备及存储介质。

背景技术

MFT文件是NTFS文件系统用于存储所有文件元数据的文件，该文件至关重要。当文件系统崩溃或者文件系统被格式化后，需要依赖该文件重组恢复整个文件系统。MFT文件属于元数据文件，只要系统在运行就会有数据的更新写入，因此该文件往往会呈现出一定程度的碎片化。

当前，针对MFT文件的恢复主要基于文件记录特征搜索，将所有的文件记录组织成一个文件，再基于这个文件进行数据恢复。但在复杂情况下分区存在被多次格式化、分区误扩容导致数据覆盖等可能，导致搜索到的文件记录属于多个文件系统，简单的搜索恢复会导致文件目录结构错乱、文件内容定位不准确等问题。

发明内容

为了解决上述问题，本发明提出了一种MFT碎片的恢复方法、终端设备及存储介质。

具体方案如下：

一种MFT碎片的恢复方法，包括以下步骤：

S1：获取磁盘的分区大小PartitionSize，并设定当前搜索位置CurrentOffset为0；

S2：判断当前搜索位置CurrentOffset是否大于或等于分区大小PartitionSize，如果是，进入S9；否则，进入S3；

S3：从磁盘分区的当前搜索位置CurrentOffset处读取1024个字节的数据块，并判断读取的1024个字节的数据块是否属于MFT文件记录块，如果否，更新当前搜索位置CurrentOffset的值为在其原有值的基础上增加512后，返回S2；否则，进入S4；

S4：设定碎片起始位置FragmentStart为当前搜索位置CurrentOffset；

S5：设定碎片结束位置FragmentEnd为当前搜索位置CurrentOffset+1023，同时更新当前搜索位置CurrentOffset的值为在其原有值的基础上增加1024；

S6：判断当前搜索位置CurrentOffset是否大于或等于分区大小PartitionSize，如果是，进入S8；否则，进入S7；

S7：从磁盘分区的当前搜索位置CurrentOffset处读取1024个字节的数据块，并判断读取的1024个字节的数据块是否属于MFT文件记录块，如果是，返回S5；否则，进入S8；

S8：将碎片起始位置FragmentStart与碎片结束位置FragmentEnd作为一个元素后添加至碎片集合FR中，更新当前搜索位置CurrentOffset的值为在其原有值的基础上增加512后，返回S2；

S9：将碎片集合FR中的每个碎片按照MFT文件记录结构进行解析，并根据解析后的每个碎片对应的文件记录集合FS生成文件记录集合序列FSS；

S10：判断碎片集合FR是否为空，如果是，结束；否则，进入S11；

S11：从碎片集合FR中选取任一元素剪切至文件碎片集合FRTmp中，并将该元素对应的文件记录从文件记录集合序列FSS中删除；

S12：判断文件碎片集合FRTmp中是否存在一元素，使其与碎片集合FR中的另一元素满足属于同个MFT文件，如果存在，进入S13；如果不存在，将文件碎片集合FRTmp中的各元素重组为一个MFT文件，清空文件碎片集合FRTmp，返回S10；