[发明专利]一种基于QNX6FS文件系统的删除文件深度恢复方法和装置

说明书

本发明给出了一种基于QNX6FS文件系统的删除文件深度恢复方法和装置，包括在删除文件深度恢复阶段通过遍历分区的残留区中的数据块，查找潜在可能的目录项信息，再通过可能的目录项信息进一步确认该目录项下对应的inode是否有效，通过上述双重认证的方式确认疑似删除文件目录项的合法性，从而最终提取出被删除文件的所有信息；在删除文件目录结构恢复阶段，通过已恢复文件所在数据块的父目录的inode查找数据块兄弟节点的inode并对两者的inode进行比对的方式，上述提取出的被删除文件的目录结构进行恢复，从而完善删除文件深度恢复的结果，获得删除文件恢复后的目录结构。本发明弥补了目前QNX6FS文件系统无文件恢复功能的缺憾，具有一定的首创性和实用性。

技术领域

本发明涉及汽车取证安全技术领域，尤其是一种基于QNX6FS文件系统的删除文件深度恢复方法和装置。

背景技术

QNX6FS文件系统(亦称Power-Safefilesystem)是黑莓公司为旗下QNX操作系统定制的一种可靠磁盘文件系统。QNX操作系统是一款遵循POSIX规范的类Unix系统，其QNX6FS文件系统的设计上也参照了许多Unix文件系统的特性，即也有“块”、“节点”、“目录”等概念。QNX6FS文件系统于QNX 6.4.0版本被引入，从6.4.1版本起作为默认文件系统使用。QNX6FS文件系统面世至今已约10年，应用十分广泛，然而与之相关的文件删除恢复研究和技术目前还教少人研究。

QNX是一款面向嵌入式领域的实时操作系统，被广泛应用于核电站、航天飞机、工业控制等领域，据统计其在车用市场的占有率约达75％。近年来，与汽车相关的案件日渐增多，取证领域对汽车电子数据取证的需求越来越强烈，而车载文件系统数据的提取和恢复则是汽车电子数据取证的基础。因此，研究QNX6FS文件系统对于汽车取证具有重要意义。目前市面上尚无针对QNX6FS文件系统文件删除恢复的相关软件，针对这个问题，本文提出了一种QNX6FS文件系统删除文件的恢复方法，在恢复的过程中通过全局搜索未分配簇中可能被认为是inode的数据块来进行数据恢复。通过实际编码测试，采用该恢复方法可以较大程度地恢复未被覆盖的删除文件内容。

发明内容

本发明提出了一种基于QNX6FS文件系统的删除文件深度恢复方法和装置，以解决上文提到的现有技术的缺陷。

在第一个方面，本发明提出了一种基于QNX6FS文件系统的删除文件深度恢复方法，该方法包括以下步骤：

S1：解析QNX6FS文件系统一个分区中的所有文件信息，获取所有正常目录下inode号为0的目录项，并通过读取超级块获取当前文件系统的块大小、当前分区的块数量和目录项的大小；

S2：取所述分区下的一个属于残留区的数据块B_i，利用所述当前文件系统的块大小除以所述目录项的大小得到所述数据块B_i中的目录项数量，在所述数据块B_i上读取长度为一个所述目录项的大小的数据并判断所述数据是否为一个有效的目录项，若是，则在所述数据中读取inode号；

S3：根据所述inode号读取对应的inode，并根据所述inode中各字段的特性判断所述inode是否有效，若是，则根据所述inode的结构恢复所述inode所指向的文件的具体内容，得到已恢复文件。

以上方法通过遍历分区的残留区中的数据块，查找潜在可能的目录项信息，再通过可能的目录项信息进一步确认该目录项下对应的inode是否有效，通过上述双重认证的方式确认疑似删除文件目录项的合法性，从而最终提取出被删除文件的所有信息。本方法弥补了目前QNX6FS文件系统无文件恢复功能的缺憾，具有一定的首创性和实用性。

在具体的实施例中，所述步骤S2的具体步骤包括：