[發明專利]一種NTFS中查找文件刪除時間的方法、裝置及電子設備

在審

• 申請號: 202011502940.2
• 申請日: 2020-12-17
• 公開（公告）號: CN112486924A
• 公開（公告）日: 2021-03-12
• 發明（設計）人: 孫麗;李盛
• 申請（專利權）人: 深圳軟牛科技有限公司
• 主分類號: G06F16/16
• 分類號: G06F16/16;G06F16/17
• 代理公司: 深圳市特訊知識產權代理事務所(普通合伙) 44653
• 代理人: 孟智廣

本說明書一個或多個實施例提供一種NTFS中查找文件刪除時間的方法、裝置及電子設備，通過查找文件系統中的$Logfile文件，并將找到的$Logfile文件中的記錄項進行排序，將排序后的記錄項分割為多個事務，找出其中的刪除事務，針對刪除事務中的記錄項，基于redo操作及undo操作查找目標記錄項，從所述目標記錄項中提取文件名及對應的文件刪除時間，從而實現對NTFS文件系統中已刪除文件的刪除時間的確定。

技術領域

本說明書一個或多個實施例涉及NTFS中查找文件刪除時間的技術領域，尤其涉及一種NTFS中查找文件刪除時間的方法、裝置及電子設備。

背景技術

NTFS是windows上主流的文件系統，該文件系統下，若需要將已刪除的文件找回，目前大多是基于文件系統的$MFT文件來找。但是，即便能夠將已刪除文件找到，也只能確定該已刪除文件的創建時間和修改時間，無法獲知文件的刪除時間。而一般在文件刪除后，很多人可能并不記得文件是什么時候創建和修改的，僅記得文件什么時候刪掉。因此，對于希望將誤刪除文件進行恢復的用戶而言，確定已刪除文件的刪除時間，有著重要的實際意義。

發明內容

有鑒于此，本說明書一個或多個實施例的目的在于提出一種NTFS中查找文件刪除時間的方法、裝置及電子設備，能夠確定NTFS文件系統中已刪除文件的刪除時間。

基于上述目的，本說明書一個或多個實施例提供了一種NTFS中查找文件刪除時間的方法，包括：

根據NTFS的卷頭信息查找$Logfile文件；

解析所述$Logfile文件，獲取其中的記錄項，并基于所述記錄項的序列號將所述記錄項排序；

將排序后的所述記錄項劃分為多個事務；

針對每個事務，查找所述事務中是否有redo操作為DeallocateFileRecordSegmen的記錄項，如果有，則所述事務為刪除事務；

針對每個刪除事務中的記錄項，查找redo操作為UpdateNonResidentValue，且undo操作為Noop的目標記錄項；

從所述目標記錄項中提取文件名及對應的文件刪除時間。

作為一種可選的實施方式，所述根據NTFS的卷頭信息定位查找$Logfile文件，包括：

根據NTFS的卷頭信息定位$MFT文件的位置；

通過所述$MFT文件查找所述$Logfile文件。

作為一種可選的實施方式，所述序列號由所述記錄項的頭部8個字節組成。

作為一種可選的實施方式，所述基于所述記錄項的序列號將所述記錄項排序，包括：

按照所述序列號由小到大的順序將所述記錄項排序。

作為一種可選的實施方式，所述將所述記錄項序列劃分為多個事務，其中，每個事務的第一個記錄項為上一序列號為0的記錄項，最后一個記錄項為redo操作為ForgetTransaction的記錄項。

作為一種可選的實施方式，每個所述記錄項的偏移8個字節開始的8個字節組成的整型為上一序列號，每個所述記錄項偏移0x30位置的2個字節組成的整型值為redo操作值。

作為一種可選的實施方式，每個記錄項偏移0x32位置的2個字節組成的整型值為undo操作值。

作為一種可選的實施方式，所述目標記錄項的redo操作的內容區域中，偏移0x20位置開始的8個字節為刪除時間的數值，偏移0x52位置開始為刪除的文件或者文件夾的名稱。

作為本發明的第二個方面，還提供了一種NTFS中查找文件刪除時間的裝置，包括：