[发明专利]一种手机端F2FS文件系统的近期删除文件恢复方法

说明书

本发明公开了一种手机端F2FS文件系统的近期删除文件恢复方法，包括：(1)读取F2FS文件系统Superblock超级块区，获取Node Address Table节点信息表、Checkpoint检查点段以及Main Area主数据区的起始地址，确定F2FS文件系统根目录文件节点号ino；(2)读取有效Checkpoint检查点段中的缓存区，运用基于根目录时间戳的NAT节点表更新方法完成对Node Address Table节点信息表的信息更新；(3)在更新后的Node Address Table节点信息表中获取并解析.Trash文件；(4)解析.Trash子文件的inode数据区，获取近期删除文件的文件名和原存储路径；(5)恢复.Trash文件下存储的近期删除文件。本发明针对F2FS文件系统的恢复删除数据方面，解析获取被删除文件速度更快、效率更高，应用效果更好。

技术领域

本发明涉及信息安全技术及数据恢复领域，特别设计一种手机端F2FS文件系统的近期删除文件恢复方法。

背景技术

随着闪存存储设备制造成本的大幅下降，闪存存储设备正逐步取代传统的磁盘，成为主要的存储设备之一。F2FS文件系统(Flash Friendly File System)采用log-structured文件系统方案，并修复旧式日志结构文件系统的滚雪球效应和高清理开销等一些已知问题，专门针对NAND闪存存储介质做了友好设计，是一种基于NAND的存储设备设计的新型开源Flash文件系统。F2FS文件系统更好的发挥了闪存存储设备的性能优势，华为率先将F2FS文件系统加入到自己的产品中，随后不少厂商也跟进采用该文件系统来取代Ext4文件系统。到目前为止，有多个厂商的移动设备已经使用该文件系统并收到消费者的广泛好评，其中包括三星Galaxy Note 10、华为Mate20、Google Pixel 3、Moto Z等。有些厂商的设备虽仍然使用Ext4文件系统，但支持从Ext4到F2FS的转换，F2FS文件系统现已经得到了各制造商越来越广泛的关注和应用。

F2FS文件系统仅支持在Linux操作系统运行，基于Windows操作系统下对F2FS文件系统的数据解析相关研究还很少，支持F2FS文件系统数据删除恢复的相关研究也还不充分，因此本专利基于Windows操作系统，根据手机端F2FS文件系统特有的读写访问机制以及垃圾回收机制，提出一种对手机端F2FS文件系统被删除文件数据解析恢复的方法，对文件系统数据取证具有重大意义。

发明内容

本发明目的：本发明针对现有技术存在的问题，提供一种对手机端F2FS文件系统解析恢复被删除文件数据的方法。本发明通过利用用户在手机端删除相应文件的操作即等同于用户在图形界面删除文件，根据在图形界面删除文件并不直接删除文件而是将文件先放置在.Trash目录下的特点，通过寻找确认.Trash目录文件，结合基于根目录时间戳的NAT节点表更新方法得到的最新有效NAT节点信息表，对用户近期删除文件进行数据恢复，该方法可以更快的实现对用户近期删除数据的恢复。

本发明提出一种手机端F2FS文件系统的近期删除文件恢复方法，具体步骤如下；

(1)读取F2FS文件系统Superblock超级块区，获取Node Address Table节点信息表、Checkpoint检查点段以及Main Area主数据区的起始地址，确定F2FS文件系统根目录文件节点号ino；

(2)读取有效Checkpoint检查点段中的缓存区，运用基于根目录时间戳的NAT节点表更新方法完成对Node Address Table节点信息表的信息更新；

(3)在更新后的Node Address Table节点信息表中获取并解析.Trash文件；

(4)解析.Trash子文件的inode元数据信息块区，获取近期删除文件的文件名和原存储路径；

(5)恢复.Trash文件下存储的近期删除文件。