[發明專利]一種基于寫時復制的BTRFS文件系統數據的解析及提取方法

在審

• 申請號: 202011603205.0
• 申請日: 2020-12-30
• 公開（公告）號: CN112650718A
• 公開（公告）日: 2021-04-13
• 發明（設計）人: 梁效寧;許超明;何麗萍
• 申請（專利權）人: 四川效率源信息安全技術股份有限公司
• 主分類號: G06F16/17
• 分類號: G06F16/17;G06F16/182;G06F16/16;G06F11/14
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于寫時復制的BTRFS文件系統數據的解析及提取方法，其特征在于包括以下步驟：

S100：加載磁盤并判斷磁盤的數據是否為BTRFS文件系統的數據，如果是，執行步驟S200，否則執行步驟S100；其中，判斷的方法為：尋址并獲取物理地址0x10000處的主超級塊，判斷主超級塊中magic值是否為BTRFS文件系統數據的標識；

S200：解析磁盤中BTRFS文件系統的主超級塊；

S300：解析并獲取磁盤的邏輯地址與物理地址的映射關系；

S400：判斷當前數據是否為刪除數據，如果是，執行步驟S600，否則，當前數據為正常數據，執行步驟S500；

S500：解析磁盤的最新寫時復制ID所對應的各個B-Tree節點塊內容，獲取磁盤的正常數據的信息，執行步驟S700；

S600：解析磁盤中歷史寫時復制ID值所對應的各個B-Tree節點塊內容，恢復并提取磁盤的刪除數據的信息；

S700：根據所獲取的正常數據的信息或所恢復并提取的刪除數據的信息，確定正常數據或所恢復并提取的刪除數據在磁盤中的目錄結構及數據的內容。

2.根據權利要求1所述的一種基于寫時復制的BTRFS文件系統數據的解析及提取方法，其特征在于，所述步驟S100包括以下步驟：

S101：加載磁盤并獲取磁盤起始地址向后偏移0x10000字節的扇區數據，扇區數據的字節長度為0x1000，所獲取的扇區數據為主超級塊；

S102：判斷主超級塊中magic值是否為BTRFS文件系統數據的標識，包括以下步驟：

S1021：獲取如表1所示的BTRFS文件系統主超級塊的扇區數據結構：

表1：BTRFS文件系統主超級塊的扇區數據結構

S1022：主超級塊的起始地址向后偏移0x40字節，獲取連續8字節的內容為magic值，判斷magic值是否為ASCII碼表示的字符“_BHRfS_M”，如果是，執行步驟S1023，否則，退出流程；

S1023：主超級塊的起始地址向后偏移0x30字節，獲取連續8字節的內容中的低字節序的內容，作為主超級塊的邏輯地址，并判斷是否與主超級塊在磁盤中物理地址0x10000相等，如果是，執行步驟S1024，否則，退出流程；

S1024：主超級塊的起始地址向后偏移0x32B字節，獲取連續n字節的內容為組塊條目陣列，用以描述邏輯地址到物理地址的映射方式，其中，n的值等于主超級塊的起始地址向后偏移0xA0字節并獲取連續4字節的低字節序的內容，執行步驟S200。

3.根據權利要求1所述的一種基于寫時復制的BTRFS文件系統數據的解析及提取方法，其特征在于，所述步驟S200包括以下步驟：

根據主超級塊所包含的磁盤數據描述信息，解析如表1所示的BTRFS文件系統主超級塊的扇區數據結構，包括最新寫時復制ID值、根樹、數據塊樹、磁盤字節數使用情況、磁盤名稱、邏輯地址和物理地址的映射關系、歷史寫時復制ID值對應的各個B-Tree節點塊邏輯地址，其中，

當前最新的寫時復制ID值：儲存于主超級塊的起始地址向后偏移0x48的連續8字節的低字節序的內容；

根樹邏輯地址：儲存于主超級塊的起始地址向后偏移0x60的連續8字節低字節序的內容；

數據塊根樹邏輯地址：儲存于主超級塊的起始地址向后偏移0x68的連續8字節低字節序的內容；

邏輯地址和物理地址的映射關系：儲存于主超級塊的起始地址向后偏移0x32B的n字節中n的值等于主超級塊的起始地址向后偏移0xA0字節并獲取連續4字節低字節序的內容；

歷史寫時復制ID值對應的各個B-Tree節點塊邏輯地址：儲存于主超級塊的起始地址向后偏移0xB2B的連續0x4d5字節的內容。