[发明专利]一种基于区间块来恢复APFS中被损坏数据及被删除数据的方法

说明书

本发明公开了一种基于区间块来恢复APFS中被损坏数据及被删除数据的方法，其特征在于包括以下步骤：S100：加载磁盘并判断所述磁盘的分区表项是否描述为APFS容器，如果是，执行步骤S200，否则执行步骤S100；S200：检测分区表项中APFS容器信息，用以确定APFS容器的起始地址、结束地址及APFS容器存储空间的大小；S300：判断APFS容器是否具有完整的存储结构，如果是，表示APFS容器存储结构完整且数据无损坏或未被删除，执行步骤S100，否则执行步骤S400；S400：获取APFS容器中包含的区间块extentblock；S500：确定APFS容器宗卷的最新文件存储信息；S600：提取被损坏数据和/或被删除数据。

技术领域

本发明属于电子数据恢复与取证领域，涉及一种基于区间块来恢复APFS中被损坏数据及被删除数据的方法。

背景技术

APFS是Apple File System的简称，是苹果公司在2016年6月14日的WWDC上正式发布了全新的文件格式，用以替代目前所使用的HFS+文件系统，其特征是“优化闪存/SSD存储，并以加密为主要功能”，在I/O联合上使用了“独特的写时复制COW(copy-on-write)设计”，在确保可靠性的基础上优化性能。该系统的核心为加密功能，其将为苹果旗下的每款设备提供统一的加密方法。该系统包含有多密钥加密功能，内置有针对每个文件的密钥，其针对敏感元数据也都有独立的密钥。

由于APFS的独特文件格式及高度的加密功能，当APFS容器结构不完整，或者存在被损坏数据及被删除数据后，难以恢复和提取被损坏数据及被删除数据。现有技术中也尚无一种基于区间块来恢复APFS中被损坏数据及被删除数据的方法，给APFS的电子数据恢复与取证造成了巨大的困难。因此，急需一种基于区间块来恢复APFS中被损坏数据及被删除数据的方法，以弥补APFS的电子数据恢复与取证困难的不足。

发明内容

本发明针对现有技术的不足问题，提出了一种基于区间块来恢复APFS中被删除数据的方法：根据磁盘数据特征值判断是否包含APFS容器数据，若磁盘数据为APFS数据，但无法通过APFS数据存储结构获取到存储数据，则可通过APFS容器中的区间块extentblock的数据内容，对磁盘中数据进行提取恢复，实现APFS文件系统文件数据被损坏数据及被删除数据后的高效的、便捷的数据恢复，达到恢复并提取APFS中被损坏数据及被删除数据的目的。

在APFS容器中，存储数据使用B-树数据结构。B-树是一种自平衡的树，能够保持数据有序，这种数据结构能够让查找数据、顺序访问、插入数据以及删除的动作，都在对数时间内完成。这样能够保证对APFS文件系统APFS容器中的数据进行快速操作。

为便于描述，本发明可能包含如下术语：

APFS容器：在磁盘上划分几个逻辑部分,每个存放APFS文件系统数据的逻辑部分都称之为APFS容器；

B-树：用于对宗卷中的文件信息进行存储管理的数据结构；

宗卷：一个APFS容器中划分的一个或多个物理部分；所有宗卷可以共享APFS容器中的空闲空间；

块：一个APFS容器被等分成多个存储单元，每个存储单元称为一个块；

位图结构BMS：管理APFS容器中所有块的使用情况(例如，0：表示未分配；1：表示已分配使用)。

本发明申请包括以下步骤：

S100：加载磁盘并判断所述磁盘的分区表项是否描述为APFS容器，如果是，执行步骤S200，否则执行步骤S100；

S200：检测分区表项中APFS容器信息，用以确定APFS容器的起始地址、结束地址及APFS容器存储空间的大小；