[发明专利]一种GlobalFs删除文件恢复方法和系统

说明书

本发明给出了一种GlobalFs删除文件恢复方法和系统，包括判断待处理Dirent索引中MetaLength的值是否等于待处理Dirent索引的元数据实际所需的长度，若否，则判断所述待处理Dirent索引中存在用于指向被删除的INODE的Dirent索引，并设置所述用于指向被删除的INODE的Dirent索引的元数据数据范围，记为范围M；从范围M的起点开始创建一个新Dirent索引，利用所述新Dirent索引搜索INODE，判断搜索到的INODE是否为目录，若否，则根据搜索到的INODE即可索引到由该INODE指向的被删除文件。本方法不需要GlobalFs运行，也不需要ISCSI集群服务运行便可以从存储介质中恢复出被删除的GlobalFs的文件。

技术领域

本发明涉及计算机取证安全技术领域，尤其是一种GlobalFs删除文件恢复方法和系统。

背景技术

GlobalFs文件系统是运行在通用硬件上的集群文件系统，广泛应用于云服务器的文件共享，随着云服务的发展与普及，其删除文件的恢复技术在智能设备安全、网络信息安全领域将是一个备受关注的热点。目前，基于GlobalFs文件系统的删除恢复技术尚不成熟，相关的文献较少，不能满足计算机取证安全领域的迫切需求。在GlobalFs文件被删除的情况下，国内外还没有发现有软件支持GlobalFs文件系统的删除恢复，导致无法深入对GlobalFs集群文件系统的被删除文件进行取证。

发明内容

本发明提出了一种GlobalFs删除文件恢复方法和系统，以解决上文提到的现有技术的缺陷。

在一个方面，本发明提出了一种GlobalFs删除文件恢复方法，该方法包括以下步骤：

S1：判断待处理Dirent索引中MetaLength的值是否等于待处理Dirent索引的元数据实际所需的长度，若否，则判断所述待处理Dirent索引中存在用于指向被删除的INODE的Dirent索引，并设置所述用于指向被删除的INODE的Dirent索引的元数据数据范围，记为范围M；

S2：从所述范围M的起点开始创建一个新Dirent索引，利用所述新Dirent索引搜索INODE，判断搜索到的INODE是否为目录，若否，则根据搜索到的INODE即可索引到由该INODE指向的被删除文件。

以上方法根据GlobalFs删除文件的原理，通过扫描GlobalFs中被掩藏的删除文件的索引，重建被删除文件的索引，重组恢复出被删除文件。该方法不需要GlobalFs运行，也不需要ISCSI集群服务运行便可以从存储介质中恢复出被删除的GlobalFs的文件。

在具体的实施例中，还包括步骤S3：将所述新Dirent索引的元数据实际所需长度加入到待处理Dirent索引的元数据实际所需的长度中，并跳转至步骤S1。本步骤用于对范围M的重置，由于一个Dirent索引中可能不止存在一个用于指向被删除的INODE的Dirent索引，需要在一次执行步骤S2的恢复操作后，执行步骤S3的操作，再重复执行S1至S2的操作，依次循环，从而恢复出其他的被删除文件。

在具体的实施例中，待处理Dirent索引是通过遍历GlobalFs得到的，所述遍历的具体步骤包括：

S101：扫描所有存储介质的GlobalFs，获取GlobalFs的所有目录，建立目录集合；

S102：判断所述目录集合中的所有目录是否都被取出过一次，若是，则所有存储介质的GlobalFs中的被删除文件均已完成恢复操作，若否，则按顺序取出所述目录集合中的一个未被取出过的目录作为待处理目录；

S103：获取所述待处理目录下的所有INODE的Dirent索引，建立一个索引集合；