[發(fā)明專利]重建NTFS文件目錄樹(shù)的方法、設(shè)備及存儲(chǔ)介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 201911343889.2
• 申請(qǐng)日: 2019-12-23
• 公開(kāi)（公告）號(hào): CN111125298A
• 公開(kāi)（公告）日: 2020-05-08
• 發(fā)明（設(shè)計(jì)）人: 蔡文錦
• 申請(qǐng)（專利權(quán)）人: 深圳市斯博科技有限公司
• 主分類號(hào): G06F16/31
• 分類號(hào): G06F16/31;G06F11/14
• 代理公司: 深圳市恒程創(chuàng)新知識(shí)產(chǎn)權(quán)代理有限公司 44542
• 代理人: 劉冰

本發(fā)明公開(kāi)一種重建NTFS文件目錄樹(shù)的方法，步驟包括：遍歷目標(biāo)分區(qū)磁盤(pán)，提取特征值為“FILE”的文件記錄項(xiàng)；對(duì)特征值為“FILE”的文件記錄項(xiàng)進(jìn)行分析處理；根據(jù)處理得到的文件記錄項(xiàng)信息，構(gòu)建文件目錄樹(shù)。本發(fā)明還公開(kāi)了一種電子設(shè)備和存儲(chǔ)介質(zhì)。本發(fā)明的技術(shù)方案能解決現(xiàn)有技術(shù)方案存在難以根據(jù)NTFS分區(qū)丟失文件數(shù)據(jù)后的不同分區(qū)儲(chǔ)存場(chǎng)景，難以高效、準(zhǔn)確的還原文件目錄樹(shù)結(jié)構(gòu)的技術(shù)問(wèn)題。

技術(shù)領(lǐng)域

本發(fā)明涉及數(shù)據(jù)恢復(fù)技術(shù)領(lǐng)域，尤其涉及一種重建NTFS文件目錄樹(shù)的方法、設(shè)備及存儲(chǔ)介質(zhì)。

背景技術(shù)

NTFS(NewTechnologyFileSystem，新技術(shù)文件系統(tǒng))丟失數(shù)據(jù)恢復(fù)的過(guò)程中，需要根據(jù)每個(gè)文件記錄項(xiàng)的MFT(MasterFileTable，主文件表)文件記錄號(hào)與父目錄文件記錄號(hào)來(lái)構(gòu)建原分區(qū)的目錄樹(shù)結(jié)構(gòu)，以還原原分區(qū)的文件目錄樹(shù)狀態(tài)。

對(duì)于新找到的文件記錄項(xiàng)，現(xiàn)有技術(shù)中一般是在已找到的文件記錄項(xiàng)中搜索該文件記錄項(xiàng)的父節(jié)點(diǎn)。但對(duì)于先找到子文件記錄項(xiàng)，后找到父文件記錄項(xiàng)的情景，則不能將子文件記錄項(xiàng)與父文件記錄項(xiàng)正確關(guān)聯(lián)。

現(xiàn)有技術(shù)還需通過(guò)計(jì)算父文件記錄項(xiàng)所在位置，獲取父文件記錄項(xiàng)信息。但在實(shí)踐過(guò)程中，計(jì)算父文件記錄項(xiàng)所在位置需要更多的磁盤(pán)和處理器進(jìn)行隨機(jī)讀取，提高了數(shù)據(jù)處理的成本和時(shí)間，降低了數(shù)據(jù)處理的效率準(zhǔn)確性。并且若$MFT文件的DataRuns(文件數(shù)據(jù)碎片塊鏈表)信息不正確，則無(wú)法正確獲取父文件記錄項(xiàng)所在位置、準(zhǔn)確的還原文件目錄樹(shù)結(jié)構(gòu)。

綜上所述，現(xiàn)有技術(shù)方案存在難以根據(jù)NTFS分區(qū)丟失文件數(shù)據(jù)后的不同分區(qū)儲(chǔ)存場(chǎng)景，高效、準(zhǔn)確的還原文件目錄樹(shù)結(jié)構(gòu)的技術(shù)問(wèn)題。

發(fā)明內(nèi)容

本發(fā)明提供一種重建NTFS文件目錄樹(shù)的方法、系統(tǒng)及存儲(chǔ)介質(zhì)，旨在解決現(xiàn)有技術(shù)中難以高效、準(zhǔn)確的還原文件目錄樹(shù)結(jié)構(gòu)的技術(shù)問(wèn)題。

為實(shí)現(xiàn)上述目的，根據(jù)本發(fā)明的第一方面，本發(fā)明提出了一種重建NTFS文件目錄樹(shù)的方法，步驟包括：

遍歷目標(biāo)分區(qū)磁盤(pán)，提取具有預(yù)設(shè)特征值的文件記錄項(xiàng)作為目標(biāo)文件記錄項(xiàng)；

對(duì)所有目標(biāo)文件記錄項(xiàng)進(jìn)行分析處理，得到文件記錄項(xiàng)信息；

根據(jù)處理得到的文件記錄項(xiàng)信息，構(gòu)建文件目錄樹(shù)。

優(yōu)選地，所述預(yù)設(shè)特征值為FILE，所述提取具有預(yù)設(shè)特征值的文件記錄項(xiàng)作為目標(biāo)文件記錄項(xiàng)的步驟，包括：

提取所述目標(biāo)分區(qū)磁盤(pán)中，0x00地址起的4個(gè)字節(jié)為FILE的扇區(qū)和\或簇，為目標(biāo)文件記錄項(xiàng)。

優(yōu)選地，所述對(duì)所有目標(biāo)文件記錄項(xiàng)進(jìn)行分析處理，得到文件記錄項(xiàng)信息的步驟，包括：

確定所有目標(biāo)文件記錄項(xiàng)的類型；

解析目標(biāo)文件記錄項(xiàng)的屬性以提取$FILE_NAME文件名，以及通過(guò)$FILE_NAME文件名獲取父目錄的MFT記錄號(hào)。

優(yōu)選地，所述確定所有目標(biāo)文件記錄項(xiàng)的類型的步驟，包括：

根據(jù)地址為0x16的標(biāo)記確定所有目標(biāo)文件記錄項(xiàng)的類型。

優(yōu)選地，所述解析所述目標(biāo)文件記錄項(xiàng)的屬性以提取$FILE_NAME文件名，以及通過(guò)$FILE_NAME文件名獲取父目錄的MFT記錄號(hào)的步驟，包括：

解析屬性地址中序號(hào)為0x30的數(shù)據(jù)，從而獲得$FILE_NAME文件名；

通過(guò)解析$FILE_NAME文件名中序號(hào)為0x00的數(shù)據(jù)獲取父目錄文件引用，并從所述父目錄文件引用中獲取所述父目錄的MFT記錄號(hào)。

優(yōu)選地，所述根據(jù)處理得到的文件記錄項(xiàng)信息，構(gòu)建文件目錄樹(shù)的步驟包括：