[发明专利]一种基于写时复制的BTRFS文件系统数据的解析及提取方法

说明书

本发明公开了一种基于写时复制的BTRFS文件系统数据的解析及提取方法，其特征在于包括以下步骤S100：判断磁盘的数据是否为BTRFS文件系统的数据，如果是，执行步骤S200，否则执行步骤S100；S200：解析磁盘中BTRFS文件系统的主超级块；S300：解析并获取磁盘的逻辑地址与物理地址的映射关系；S400：判断当前数据是否为删除数据，如果是，执行步骤S600，否则，执行步骤S500；S500：解析磁盘的最新写时复制ID值所对应的各个B‑Tree节点块内容，获取磁盘的正常数据的信息，执行步骤S700；S600：解析磁盘中历史写时复制ID值所对应的各个B‑Tree节点块内容，恢复并提取磁盘的删除数据的信息；S700：确定正常数据或所恢复并提取的删除数据在磁盘中的目录结构及数据的内容。

技术领域

本发明属于电子取证及数据恢复领域，涉及一种文件系统数据的解析及提取方法，尤其涉及一种基于写时复制的BTRFS文件系统数据的解析及提取方法。

背景技术

BTRFS文件系统作为一种运用于Linux操作系统环境下的一种文件系统，为了能够让其脱离Linux环境的束缚，需要对于BTRFS文件系统的数据存储结构进行分析，使其能够不依赖于Linux操作系统环境，并可以快速对BTRFS文件系统磁盘数据进行解析、提取，以便可以快速获取BTRFS文件系统磁盘包含的所有文件数据。

根据BTRFS文件系统特定的数据存储结构，可以快速找到磁盘数据中保存的文件数据，以及通过BTRFS文件系统采用的写时复制的数据记录更新方式对磁盘数据进行解析提取，也可以对磁盘中删除的文件数据进行恢复提取。

在BTRFS文件系统中使用B-Tree结构来存储磁盘数据，其中有几种BTRFS文件系统固定的B-Tree结构用于存储磁盘文件数据的管理信息，通过这些B-Tree结构数据可以快速获取到磁盘中各种信息，其中包括文件管理信息、文件数据信息等。同时，通过这种B-Tree关系不仅可以获取到磁盘中所有的文件数据，还可以获取到磁盘中文件的层级目录关系。

现有技术中，对于BTRFS文件系统，尚无一种可以脱离Linux操作系统环境的、基于写时复制的BTRFS文件系统数据的解析及提取方法。

发明内容

针对现有技术的不足，本发明提供了一种基于写时复制的BTRFS文件系统数据的解析及提取方法，通过对BRTFS文件系统磁盘数据进行解析，对磁盘中的BTFS文件系统数据包含的正常数据及删除数据的进行解析、提取、恢复。实现了基于写时复制的BTRFS文件系统数据的解析及提取。本发明申请包括以下步骤：

S100：加载磁盘并判断磁盘的数据是否为BTRFS文件系统的数据，如果是，执行步骤S200，否则执行步骤S100；其中，判断的方法为：寻址并获取物理地址0x10000处的主超级块，判断主超级块中magic值是否为BTRFS文件系统数据的标识；

S200：解析磁盘中BTRFS文件系统的主超级块；

S300：解析并获取磁盘的逻辑地址与物理地址的映射关系；

S400：判断当前数据是否为删除数据，如果是，执行步骤S600，否则，当前数据为正常数据，执行步骤S500；

S500：解析磁盘的最新写时复制ID值所对应的各个B-Tree节点块内容，获取磁盘的正常数据的信息，执行步骤S700；

S600：解析磁盘中历史写时复制ID值所对应的各个B-Tree节点块内容，恢复并提取磁盘的删除数据的信息；

S700：根据所获取的正常数据的信息或所恢复并提取的删除数据的信息，确定正常数据或所恢复并提取的删除数据在磁盘中的目录结构及数据的内容。

优选地，所述步骤S100包括以下步骤：