[发明专利]一种NTFS中查找文件删除时间的方法、装置及电子设备

说明书

本说明书一个或多个实施例提供一种NTFS中查找文件删除时间的方法、装置及电子设备，通过查找文件系统中的$Logfile文件，并将找到的$Logfile文件中的记录项进行排序，将排序后的记录项分割为多个事务，找出其中的删除事务，针对删除事务中的记录项，基于redo操作及undo操作查找目标记录项，从所述目标记录项中提取文件名及对应的文件删除时间，从而实现对NTFS文件系统中已删除文件的删除时间的确定。

技术领域

本说明书一个或多个实施例涉及NTFS中查找文件删除时间的技术领域，尤其涉及一种NTFS中查找文件删除时间的方法、装置及电子设备。

背景技术

NTFS是windows上主流的文件系统，该文件系统下，若需要将已删除的文件找回，目前大多是基于文件系统的$MFT文件来找。但是，即便能够将已删除文件找到，也只能确定该已删除文件的创建时间和修改时间，无法获知文件的删除时间。而一般在文件删除后，很多人可能并不记得文件是什么时候创建和修改的，仅记得文件什么时候删掉。因此，对于希望将误删除文件进行恢复的用户而言，确定已删除文件的删除时间，有着重要的实际意义。

发明内容

有鉴于此，本说明书一个或多个实施例的目的在于提出一种NTFS中查找文件删除时间的方法、装置及电子设备，能够确定NTFS文件系统中已删除文件的删除时间。

基于上述目的，本说明书一个或多个实施例提供了一种NTFS中查找文件删除时间的方法，包括：

根据NTFS的卷头信息查找$Logfile文件；

解析所述$Logfile文件，获取其中的记录项，并基于所述记录项的序列号将所述记录项排序；

将排序后的所述记录项划分为多个事务；

针对每个事务，查找所述事务中是否有redo操作为DeallocateFileRecordSegmen的记录项，如果有，则所述事务为删除事务；

针对每个删除事务中的记录项，查找redo操作为UpdateNonResidentValue，且undo操作为Noop的目标记录项；

从所述目标记录项中提取文件名及对应的文件删除时间。

作为一种可选的实施方式，所述根据NTFS的卷头信息定位查找$Logfile文件，包括：

根据NTFS的卷头信息定位$MFT文件的位置；

通过所述$MFT文件查找所述$Logfile文件。

作为一种可选的实施方式，所述序列号由所述记录项的头部8个字节组成。

作为一种可选的实施方式，所述基于所述记录项的序列号将所述记录项排序，包括：

按照所述序列号由小到大的顺序将所述记录项排序。

作为一种可选的实施方式，所述将所述记录项序列划分为多个事务，其中，每个事务的第一个记录项为上一序列号为0的记录项，最后一个记录项为redo操作为ForgetTransaction的记录项。

作为一种可选的实施方式，每个所述记录项的偏移8个字节开始的8个字节组成的整型为上一序列号，每个所述记录项偏移0x30位置的2个字节组成的整型值为redo操作值。

作为一种可选的实施方式，每个记录项偏移0x32位置的2个字节组成的整型值为undo操作值。

作为一种可选的实施方式，所述目标记录项的redo操作的内容区域中，偏移0x20位置开始的8个字节为删除时间的数值，偏移0x52位置开始为删除的文件或者文件夹的名称。

作为本发明的第二个方面，还提供了一种NTFS中查找文件删除时间的装置，包括：