基于EXT4文件系统的数据恢复方法研究

摘要

研究EXT4文件系统中删除文件的恢复方法对计算机取证工作有重要意义.文章研究了在EXT4文件系统中通过日志中的备份信息进行数据恢复的方法.采用了实例式研究方法,分析了EXT4文件系统中extent树的构成,分析了文件被删除之后extent树的变化,研究了通过inode编号定位inode结点所在数据块的方法,研究了通过日志恢复被删除文件的方法.文章得出的结论是在日志文件和删除数据未被完全覆盖的情况下,可以通过日志有效恢复EXT4文件系统中被删除的文件.文章的研究成果可以应用在公安机关的电子数据鉴定工作中,也可用于公安院校的《电子物证检验》课程教学.