[发明专利]一种NTFS中查找文件删除时间的方法、装置及电子设备

权利要求书

1.一种NTFS中查找文件删除时间的方法，其特征在于，包括：

根据NTFS的卷头信息查找$Logfile文件；

解析所述$Logfile文件，获取其中的记录项，并基于所述记录项的序列号将所述记录项排序；

将排序后的所述记录项划分为多个事务；

针对每个事务，查找所述事务中是否有redo操作为DeallocateFileRecordSegmen的记录项，如果有，则所述事务为删除事务；

针对每个删除事务中的记录项，查找redo操作为UpdateNonResidentValue，且undo操作为Noop的目标记录项；

从所述目标记录项中提取文件名及对应的文件删除时间。

2.根据权利要求1所述的NTFS中查找文件删除时间的方法，其特征在于，所述根据NTFS的卷头信息查找$Logfile文件，包括：

根据NTFS的卷头信息定位$MFT文件的位置；

通过所述$MFT文件查找所述$Logfile文件。

3.根据权利要求1所述的NTFS中查找文件删除时间的方法，其特征在于，所述序列号由所述记录项的头部8个字节组成。

4.根据权利要求1所述的NTFS中查找文件删除时间的方法，其特征在于，所述基于所述记录项的序列号将所述记录项排序，包括：

按照所述序列号由小到大的顺序将所述记录项排序。

5.根据权利要求1所述的NTFS中查找文件删除时间的方法，其特征在于，所述将所述记录项序列划分为多个事务，其中，每个事务的第一个记录项为上一序列号为0的记录项，最后一个记录项为redo操作为ForgetTransaction的记录项。

6.根据权利要求5所述的NTFS中查找文件删除时间的方法，其特征在于，每个所述记录项的偏移8个字节开始的8个字节组成的整型为上一序列号，每个所述记录项偏移0x30位置的2个字节组成的整型值为redo操作值。

7.根据权利要求1所述的NTFS中查找文件删除时间的方法，其特征在于，每个记录项偏移0x32位置的2个字节组成的整型值为undo操作值。

8.根据权利要求1所述的NTFS中查找文件删除时间的方法，其特征在于，所述目标记录项的redo操作的内容区域中，偏移0x20位置开始的8个字节为删除时间的数值，偏移0x52位置开始为删除的文件或者文件夹的名称。

9.一种NTFS中查找文件删除时间的装置，其特征在于，包括：

第一查找单元，用于根据NTFS的卷头信息查找$Logfile文件；

解析与排序单元，用于解析所述$Logfile文件，获取其中的记录项，并基于所述记录项的序列号将所述记录项排序；

划分单元，用于将排序后的所述记录项划分为多个事务；

第二查找单元，用于针对每个事务，查找所述事务中是否有redo操作为DeallocateFileRecordSegmen的记录项，如果有，则所述事务为删除事务；

第三查找单元，用于针对每个删除事务中的记录项，查找redo操作为UpdateNonResidentValue，且undo操作为Noop的目标记录项；

提取单元，用于从所述目标记录项中提取文件名及对应的文件删除时间。

10.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至8任意一项所述的方法。