[發(fā)明專利]重建NTFS文件目錄樹的方法、設(shè)備及存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 201911343889.2
• 申請日: 2019-12-23
• 公開（公告）號: CN111125298A
• 公開（公告）日: 2020-05-08
• 發(fā)明（設(shè)計）人: 蔡文錦
• 申請（專利權(quán)）人: 深圳市斯博科技有限公司
• 主分類號: G06F16/31
• 分類號: G06F16/31;G06F11/14
• 代理公司: 深圳市恒程創(chuàng)新知識產(chǎn)權(quán)代理有限公司 44542
• 代理人: 劉冰

1.一種重建NTFS文件目錄樹的方法，其特征在于，步驟包括：

遍歷目標(biāo)分區(qū)磁盤，提取具有預(yù)設(shè)特征值的文件記錄項(xiàng)作為目標(biāo)文件記錄項(xiàng)；

對所有目標(biāo)文件記錄項(xiàng)進(jìn)行分析處理，得到文件記錄項(xiàng)信息；

根據(jù)處理得到的文件記錄項(xiàng)信息，構(gòu)建文件目錄樹。

2.如權(quán)利要求1所述的重建NTFS文件目錄樹的方法，其特征在于，所述預(yù)設(shè)特征值為FILE，所述提取具有預(yù)設(shè)特征值的文件記錄項(xiàng)作為目標(biāo)文件記錄項(xiàng)的步驟，包括：

提取所述目標(biāo)分區(qū)磁盤中，0x00地址起的4個字節(jié)為FILE的扇區(qū)和\或簇，為目標(biāo)文件記錄項(xiàng)。

3.如權(quán)利要求1所述的重建NTFS文件目錄樹的方法，其特征在于，所述對所有目標(biāo)文件記錄項(xiàng)進(jìn)行分析處理，得到文件記錄項(xiàng)信息的步驟，包括：

確定所有目標(biāo)文件記錄項(xiàng)的類型；

解析目標(biāo)文件記錄項(xiàng)的屬性以提取$FILE_NAME文件名，以及通過$FILE_NAME文件名獲取父目錄的MFT記錄號。

4.如權(quán)利要求3所述的重建NTFS文件目錄樹的方法，其特征在于，所述確定所有目標(biāo)文件記錄項(xiàng)的類型的步驟，包括：

根據(jù)地址為0x16的標(biāo)記確定所有目標(biāo)文件記錄項(xiàng)的類型。

5.如權(quán)利要求3所述的重建NTFS文件目錄樹的方法，其特征在于，所述解析所述目標(biāo)文件記錄項(xiàng)的屬性以提取$FILE_NAME文件名，以及通過$FILE_NAME文件名獲取父目錄的MFT記錄號的步驟，包括：

解析屬性地址中序號為0x30的數(shù)據(jù)，從而獲得$FILE_NAME文件名；

通過解析$FILE_NAME文件名中序號為0x00的數(shù)據(jù)獲取父目錄文件引用，并從所述父目錄文件引用中獲取所述父目錄的MFT記錄號。

6.如權(quán)利要求3所述的重建NTFS文件目錄樹的方法，其特征在于，所述根據(jù)處理得到的文件記錄項(xiàng)信息，構(gòu)建文件目錄樹的步驟包括：

將目標(biāo)分區(qū)磁盤中的根目錄節(jié)點(diǎn)作為目錄樹的頂點(diǎn)；

以所述頂點(diǎn)為父節(jié)點(diǎn)，創(chuàng)建相對所述頂點(diǎn)的丟失目錄節(jié)點(diǎn)；

根據(jù)文件記錄項(xiàng)信息中所有目標(biāo)文件記錄項(xiàng)的類型以及父目錄的MFT記錄號對包括頂點(diǎn)和丟失目錄節(jié)點(diǎn)的目錄樹進(jìn)行處理完善。

7.如權(quán)利要求6所述的重建NTFS文件目錄樹的方法，其特征在于，所述根據(jù)文件記錄項(xiàng)信息中所有目標(biāo)文件記錄項(xiàng)的類型以及所述父目錄的MFT記錄號對包括頂點(diǎn)和丟失目錄節(jié)點(diǎn)的目錄樹進(jìn)行處理完善的步驟，包括：

將父目錄的MFT記錄號作為關(guān)鍵詞遍歷當(dāng)前目錄樹，以查找出與所述關(guān)鍵詞存在匹配關(guān)系的父目錄節(jié)點(diǎn)；

將存在匹配關(guān)系的關(guān)鍵詞所在的，且所述類型為目錄類的目標(biāo)文件記錄項(xiàng)插入成為關(guān)鍵詞對應(yīng)匹配的父目錄節(jié)點(diǎn)的子節(jié)點(diǎn)；

將不存在匹配關(guān)系的關(guān)鍵詞所在的，且所述類型為目錄類的目標(biāo)文件記錄項(xiàng)插入至所述丟失目錄節(jié)點(diǎn)下。

8.如權(quán)利要求7所述的重建NTFS文件目錄樹的方法，其特征在于，所述方法還包括：

在所有類型為目錄類的目標(biāo)文件記錄項(xiàng)已插入至目錄樹后，執(zhí)行以下步驟以將所述類型為文件類的目標(biāo)文件記錄項(xiàng)插入至目錄樹中：

將存在匹配關(guān)系的關(guān)鍵詞所在的，且所述類型為文件類的目標(biāo)文件記錄項(xiàng)插入成為關(guān)鍵詞對應(yīng)匹配的父目錄節(jié)點(diǎn)的子節(jié)點(diǎn)；

將不存在匹配關(guān)系的關(guān)鍵詞所在的，且所述類型為文件類的目標(biāo)文件記錄項(xiàng)插入至所述丟失目錄節(jié)點(diǎn)下。

9.一種電子設(shè)備，其特征在于，包括：

存儲器，用于存儲計算機(jī)程序；

處理器，用于執(zhí)行所述計算機(jī)程序時實(shí)現(xiàn)如權(quán)利要求1至8任一項(xiàng)所述重建NTFS文件目錄樹的方法的步驟。

10.一種計算機(jī)可讀存儲介質(zhì)，其特征在于，所述計算機(jī)可讀存儲介質(zhì)上存儲有重建NTFS文件目錄樹的程序，所述重建NTFS文件目錄樹的程序被處理器執(zhí)行時實(shí)現(xiàn)如權(quán)利要求1-8中任一項(xiàng)所述的重建NTFS文件目錄樹的方法的步驟。