[发明专利]一种基于区间块来恢复APFS中被损坏数据及被删除数据的方法

权利要求书

1.一种基于区间块来恢复APFS中被损坏数据及被删除数据的方法，其特征在于包括以下步骤：

S100：加载磁盘并判断所述磁盘的分区表项是否描述为APFS容器，如果是，执行步骤S200，否则执行步骤S100；

S200：检测分区表项中APFS容器信息，用以确定APFS容器的起始地址、结束地址及APFS容器存储空间的大小；

S300：判断APFS容器是否具有完整的存储结构，如果是，表示APFS容器存储结构完整且数据无损坏或未被删除，执行步骤S100，否则执行步骤S400；步骤S300的具体步骤如下：

S301：判断APFS容器的主超级块MSB是否存在，如果是，执行步骤S302，否则执行步骤S400；

S302：判断APFS容器的宗卷索引块是否存在，如果是，执行步骤S303，否则执行步骤S400；

S303：判断APFS容器的宗卷根块和宗卷B-树对象映射块是否存在，如果是，执行步骤S304，否则执行步骤S400；

S304：判断APFS容器的宗卷检查点超级块VCSB是否存在，如果是，表示当前APFS容器具有完整的存储结构且数据不属于被损坏数据和/或被删除数据，加载另一磁盘，执行步骤S100；否则执行步骤S400；

S400：获取APFS容器中包含的区间块extentblock；

S500：确定APFS容器宗卷的最新文件存储信息；步骤S500的具体步骤如下：

S501：判断区间块extentblock的存储信息类型：以当前区间块extentblock的起始地址为首地址，读取第0x18字节开始的连续0x08字节内容中的区间块extentblock的标记，判断区间块extentblock的标记是否为0x020000400F000000，如果是，表示当前区间块extentblock的存储信息类型为索引区间块indexextentblock，执行步骤S502，否则为0x030000400F000000，表示当前区间块extentblock的存储信息类型为记录区间块Recordextentblock，执行步骤S503；

S502：根据索引区间块indexextentblock的信息确定记录区间块Record extentblock的地址：读取索引区间块indexextentblock中包含的记录区间块Recordextentblock的个数及各个记录区间块Recordextentblock的地址；

S503：根据记录区间块Recordextentblock内的表结构内容确定APFS容器的数据存储信息，包括文件节点ID、数据存储起始块地址、数据占用块大小，用以确定APFS容器宗卷的最新文件存储信息；

S600：提取被损坏数据和/或被删除数据。

2.根据权利要求1所述的一种基于区间块来恢复APFS中被损坏数据及被删除数据的方法，其特征在于，所述步骤S100的具体步骤如下：

S101：寻址磁盘的2号扇区并查找APFS容器的分区类型的GUID：以2号扇区的起始地址为首地址，读取第0x10地址开始的连续0x10字节内容为所述分区类型的GUID，格式为小端存储；

S102：判断所述分区类型的GUID是否为0xEF57347C0000AA11AA1100306543ECAC，如果是，表示分区表项描述为APFS容器，执行步骤S200，否则执行步骤S100。

3.根据权利要求2所述的一种基于区间块来恢复APFS中被损坏数据及被删除数据的方法，其特征在于，分区表项的字节长度为0x80。

4.根据权利要求1所述的一种基于区间块来恢复APFS中被损坏数据及被删除数据的方法，其特征在于，所述步骤S200的具体步骤如下：

S201：获取APFS容器的起始地址：以分区表项内的起始地址为首地址，读取第0x20地址开始的且以小端格式存储的连续0x08字节内容为APFS容器的起始地址；

S202：获取APFS容器结束地址：以分区表项内的起始地址为首地址，读取第0x28地址开始的且以小端格式存储的连续0x08字节内容为APFS容器的结束地址。