[发明专利]一种快速恢复并提取APFS中删除文件的方法

摘要

本发明公开了一种快速恢复并提取APFS中删除文件的方法，其特征在于包括以下步骤：S100：加载磁盘并读取磁盘0扇区信息；S200：检测磁盘数据并判断磁盘数据是否为APFS文件系统格式的数据，如果是，执行步骤S300，否则执行步骤S100；S300：解析APFS容器数据；S400：获取APFS容器各个宗卷路径/.Trashes/501下的子节点记录，判断是否具有描述宗卷路径/.Trashes/501对象的记录信息，如果是，执行步骤S500，否则执行步骤S300；S500：读取各个宗卷路径/.Trashes/501下的子节点记录信息；S600：判断宗卷路径/.Trashes/501子节点存储空间是否被分配，如果是，执行步骤S800，否则执行步骤S700；S700：根据子节点对象存储块地址进行寻址并提取数据；S800：按宗卷路径/.Trashes/501子节点存储空间的存储情况及覆盖情况，分类提取数据。

主权项

1.一种快速恢复并提取APFS中删除文件的方法，其特征在于包括以下步骤：S100：加载磁盘数据：加载所述磁盘并读取所述磁盘0扇区信息,所述0扇区信息包括：具有标记“NXSB”的APFS主超级块MSB、APFS容器写时复制COW的ID、APFS容器超级块信息及APFS容器描述块信息、APFS位图管理器块地址、APFS宗卷索引块地址、APFS宗卷ID，其中，所述APFS主超级块MSB用以描述APFS磁盘描述信息；所述标记“NXSB”用以判断所述磁盘数据是否为APFS文件系统格式数据；所述APFS容器写时复制COW的ID用以确定APFS容器中更新数据的先后顺序；所述APFS容器超级块信息及APFS容器描述块信息用以确定APFS容器在不同写时复制COW的ID时，APFS容器中数据存储的状态；所述APFS位图管理器用以存储APFS容器所有块的分配使用情况；所述APFS宗卷索引块用以寻址APFS容器中所有宗卷描述信息块；所述APFS宗卷ID用以描述APFS容器当前包含的所有APFS宗卷ID；S200：检测所述磁盘数据并判断所述磁盘数据是否为APFS文件系统格式的数据，如果是，执行步骤S300，否则执行步骤S100；S300：解析所述APFS容器数据：解析所述APFS容器各个宗卷、各个宗卷索引块地址及各个APFS宗卷ID；S400：获取APFS容器各个宗卷路径/.Trashes/501下的子节点记录，判断是否具有描述宗卷路径/.Trashes/501对象的记录信息，如果是，执行步骤S500，否则执行步骤S300；S500：读取各个宗卷路径/.Trashes/501下的子节点记录信息：逐一读取宗卷路径/.Trashes/501下的子节点记录信息，所述记录信息包含子节点ID、子节点对象时间戳信息、子节点对象名称、子节点对象类型、子节点对象存储起始块地址、子节点对象的字节长度；S600：判断宗卷路径/.Trashes/501子节点存储空间是否被分配，如果是，执行步骤S800，否则执行步骤S700；S700：根据子节点对象存储块地址进行寻址并提取数据；S800：按宗卷路径/.Trashes/501子节点存储空间的存储情况及覆盖情况，分类提取数据，其中，所述存储情况包含完全被分配及部分被分配，所述覆盖情况包含完全覆盖及未覆盖。