[發明專利]一種基于寫時復制的BTRFS文件系統數據的解析及提取方法

在審

• 申請號: 202011603205.0
• 申請日: 2020-12-30
• 公開（公告）號: CN112650718A
• 公開（公告）日: 2021-04-13
• 發明（設計）人: 梁效寧;許超明;何麗萍
• 申請（專利權）人: 四川效率源信息安全技術股份有限公司
• 主分類號: G06F16/17
• 分類號: G06F16/17;G06F16/182;G06F16/16;G06F11/14
• 代理公司: 暫無信息
• 代理人: 暫無信息

本發明公開了一種基于寫時復制的BTRFS文件系統數據的解析及提取方法，其特征在于包括以下步驟S100：判斷磁盤的數據是否為BTRFS文件系統的數據，如果是，執行步驟S200，否則執行步驟S100；S200：解析磁盤中BTRFS文件系統的主超級塊；S300：解析并獲取磁盤的邏輯地址與物理地址的映射關系；S400：判斷當前數據是否為刪除數據，如果是，執行步驟S600，否則，執行步驟S500；S500：解析磁盤的最新寫時復制ID值所對應的各個B?Tree節點塊內容，獲取磁盤的正常數據的信息，執行步驟S700；S600：解析磁盤中歷史寫時復制ID值所對應的各個B?Tree節點塊內容，恢復并提取磁盤的刪除數據的信息；S700：確定正常數據或所恢復并提取的刪除數據在磁盤中的目錄結構及數據的內容。

技術領域

本發明屬于電子取證及數據恢復領域，涉及一種文件系統數據的解析及提取方法，尤其涉及一種基于寫時復制的BTRFS文件系統數據的解析及提取方法。

背景技術

BTRFS文件系統作為一種運用于Linux操作系統環境下的一種文件系統，為了能夠讓其脫離Linux環境的束縛，需要對于BTRFS文件系統的數據存儲結構進行分析，使其能夠不依賴于Linux操作系統環境，并可以快速對BTRFS文件系統磁盤數據進行解析、提取，以便可以快速獲取BTRFS文件系統磁盤包含的所有文件數據。

根據BTRFS文件系統特定的數據存儲結構，可以快速找到磁盤數據中保存的文件數據，以及通過BTRFS文件系統采用的寫時復制的數據記錄更新方式對磁盤數據進行解析提取，也可以對磁盤中刪除的文件數據進行恢復提取。

在BTRFS文件系統中使用B-Tree結構來存儲磁盤數據，其中有幾種BTRFS文件系統固定的B-Tree結構用于存儲磁盤文件數據的管理信息，通過這些B-Tree結構數據可以快速獲取到磁盤中各種信息，其中包括文件管理信息、文件數據信息等。同時，通過這種B-Tree關系不僅可以獲取到磁盤中所有的文件數據，還可以獲取到磁盤中文件的層級目錄關系。

現有技術中，對于BTRFS文件系統，尚無一種可以脫離Linux操作系統環境的、基于寫時復制的BTRFS文件系統數據的解析及提取方法。

發明內容

針對現有技術的不足，本發明提供了一種基于寫時復制的BTRFS文件系統數據的解析及提取方法，通過對BRTFS文件系統磁盤數據進行解析，對磁盤中的BTFS文件系統數據包含的正常數據及刪除數據的進行解析、提取、恢復。實現了基于寫時復制的BTRFS文件系統數據的解析及提取。本發明申請包括以下步驟：

S100：加載磁盤并判斷磁盤的數據是否為BTRFS文件系統的數據，如果是，執行步驟S200，否則執行步驟S100；其中，判斷的方法為：尋址并獲取物理地址0x10000處的主超級塊，判斷主超級塊中magic值是否為BTRFS文件系統數據的標識；

S200：解析磁盤中BTRFS文件系統的主超級塊；

S300：解析并獲取磁盤的邏輯地址與物理地址的映射關系；

S400：判斷當前數據是否為刪除數據，如果是，執行步驟S600，否則，當前數據為正常數據，執行步驟S500；

S500：解析磁盤的最新寫時復制ID值所對應的各個B-Tree節點塊內容，獲取磁盤的正常數據的信息，執行步驟S700；

S600：解析磁盤中歷史寫時復制ID值所對應的各個B-Tree節點塊內容，恢復并提取磁盤的刪除數據的信息；

S700：根據所獲取的正常數據的信息或所恢復并提取的刪除數據的信息，確定正常數據或所恢復并提取的刪除數據在磁盤中的目錄結構及數據的內容。

優選地，所述步驟S100包括以下步驟：