[发明专利]一种删除文件的恢复方法、装置及存储介质

说明书

本发明提供了一种删除文件的恢复方法、装置及存储介质。该方法包括：遍历步骤，对FLASH进行遍历获取FLASH上顺序排列的有效节点的集合U；分类步骤，根据集合U中每个有效节点的类型将集合U分为FLASH上DIRENT节点的集合D和FLASH上INODE节点的集合I；恢复步骤，根据集合D和集合I构建删除文件的目录结构，将所述删除文件恢复。本发明实现了基于FLASH节点进行数据的恢复。本发明可以实现复杂情况下删除文件的恢复或部分恢复，提高了文件恢复的成功率，便于数据的取证，提高了用户体验。

技术领域

本发明涉及计算机数据恢复技术领域，特别是一种删除文件的恢复方法、装置及存储介质。

背景技术

JFFS2文件系统是一种广泛应用于嵌入式设备的文件系统，随着物联网技术的发展与普及，其删除文件的恢复技术在智能设备安全、网络信息安全领域将是一个备受关注的热点。目前，基于JFFS2文件系统的删除恢复技术善不成熟，恢复成功率低，且恢复速度慢，影响了用户体验，不能满足计算机取证安全领域的迫切需求。

发明内容

本发明针对上述现有技术中的缺陷，提出了如下技术方案。

一种删除文件的恢复方法，该方法包括：

遍历步骤，对FLASH进行遍历获取FLASH上顺序排列的有效节点的集合U；

分类步骤，根据集合U中每个有效节点的类型将集合U分为FLASH上DIRENT节点的集合D和FLASH上INODE节点的集合I；

恢复步骤，根据集合D和集合I构建删除文件的目录结构，将所述删除文件恢复。

更进一步地，所述遍历步骤的操作包括：从分区FLASH的位置p开始，读取数据，判断所述数据的结构是否符合U_k的格式，如果是，判断所述数据的magic字段是否为0x1985，如果是，则将所述数据插入集合U，令p＝p+totlen，进行读取数据；如果否，则判断p％4≠0是否成立，如果是，则对p做关于4的向上对齐，如果，则令p＝p+x，x为一个FLASH扇区的字节数；其中，U＝{U₁，U₂，U₃，...，Ux}，U_k(1≤k≤n)＝{magic，nodetype，totlen，hdr_crc}，magic为幻数屏蔽位，nodetype表示该节点的类型，totlen表示该节点的总长度，hdr_crc表示该节点头部信息的crc校验值。

更进一步地，所述分类步骤的操作包括：获取U＝{U₁，U₂，U₃，...，U_n}中的元素U_k∈U，

如果U_k的nodetype＝＝JFFS2_NODETYPE_DIRENT或nodetype＝＝JFFS2_NODETYPE_DIRENT～JFFS2_NODE_ACCURATE，则将U_k(1≤k≤n)插入D＝{D₁，D₂，D₃，...，D_m}中；

如果U_k的nodetype＝＝JFFS2_NODETYPE_INODE或nodetype＝＝JFFS2_NODETYPE_INODE～JFFS2_NODE_ACCURATE，则将U_k插入I＝{I₁，I₂，I₃，...，I_n-m}；