数据恢复实用技术课件：恢复Ext4文件系统数据.pptx

恢复Ext4文件系统数据

任务7.1恢复Ext4文件系统的超级块

7.1.1Ext4文件系统超级块分析

字节偏移字段长度（字节）字段名含义00H~03H4i-节点总数当前文件系统中包含的i节点总数04H~07H4总块数(低32位)指当前文件系统中包含的总块数，此处为低32位，0x150～0x153处为高32位08H~0BH4保留块数(低32位)文件系统给自身保留的块数，其数量一般为文件系统总块数的百分之五。此处为低32位，0x154~0x157处为高32位0CH~0FH4空闲块数(低32位)当前文件系统的可用块数。此处为低32位，0x158～0x15B为高32位。10H~13H4空闲i-节点数当前文件系统的可用i-节点数量14H~17H4第一个数据块0号块组的起始块号18H~1BH4块大小描述值块大小描述值，用来描述文件系统每个块的字节数。块大小为2N*1024字节，N为块大小描述值。如块大小描述值为2，则块大小为22*1024=4096字节，即8个扇区1CH~1FH4段大小描述值与“块大小描述值”相同20H~23H4每块组包含的块数文件系统中每块组中包含块的数量24H~27H4每块组包含的段数与每块组包含的块数相同28H~2BH4每块组包含的i-节点数文件系统中每块组包含i-节点的数量38H~39H2签名值文件系统的标志值，固定为十六进制数值“53EF”58H~59H2i-节点大小文件系统中每个i-节点的字节数。通常为256字节5AH~5BH2当前超级块所在块组号当前超级块所在块组号。因为有1、3、5、7幂的块组中存在超级块备份，此参数指当前超级块所在的块组号FEH~FFH2块组描述符大小每个块组描述符项的大小，单位字节表7-1Ext4文件系统的超级块结构（部分参数）7.1.1Ext4文件系统超级块分析

i-节点总数总块数每块组包含i-节点数i-节点大小，默认256字节每块组包含的块数当前超级块所在块组号签名值，固定为0x53EF块大小7.1.2Ext4文件系统超级块实例

7.1.3任务实施（超级块修复）打开实例7.1.3超级块修复.vhd修复超级块

任务7.2恢复Ext4文件系统的超级块

7.2.1Ext4文件系统块组描述符分析字节偏移字段长度（字节）字段定义00H~03H4块位图起始块号04H~07H4i-节点位图起始块号08H~0BH4i-节点表起始块号0CH~0DH2空闲块数0EH~0FH2空闲i-节点数10H~11H2目录总数12H~13H2块组标志(见表7-4)14H~17H4扩展块位图快照块号（低32位）18H~19H2块位图校验和（低16位）1AH~1BH2i-节点位图校验和（低16位）1CH~1DH2未使用的i-节点数（低16位）1EH~1FH2块组描述符检验和（低16位）表7-3块组描述符

7.2.2Ext4文件系统块组描述符实例

块位图起始块号i-节点位图起始块号i-节点表起始块号7.2.2Ext4文件系统块组描述符实例

7.2.3Ext4文件系统i-节点分析i-节点号用途1损坏数据块链表2根目录3ACL索引4ACL数据5Bootloader6未删除的目录7预留的块组描述符8日志信息块11第一个非预留的inode，通常是lost+found目录表7-5Ext4中i-节点号

7.2.3Ext4文件系统i-节点分析Ext4文件系统中文件存放分成两部分：目录区存储文件名及对应的i-节点号、i-节点记录存储文件的存储块号及占用空间。字节偏移字段长度（字节）字段定义00H~01H2文件模式02H~03H2所有者ID(UID)04H~07H4文件大小（字节）08H~0BH4读取时间0CH~0FH4i-节点修改时间10H~13H4文件修改时间14H~17H4删除时间18H~19H2所有者所在组ID(GID)1AH~1BH2硬链接计数1CH~1FH4占用扇区20H~23H4文件标识（使用区段树，此处需要标记0x080000)28H~63H60区段树（ExtentTree）表7-6Ext4文件系统i-节点主要参数

7.2.3Ext4文件系统i-节点分析

7.2.3Ext4文件系统i-节点分析

7.2.4Ext4文件系统目录项分析字节偏移字段长度（字节）字段定义0x00~0x012魔数，校验值，只有当检验结果是0xF30A时，B+树的块才正确。0x02~0x032区段数0x04~0x052最大区段数0x06~0x072节点在区段树中的深度。0则表示为叶子节点，大于0时表示为索引节点，指向其他区段节点。0x08~0x0B4未使用表7-7ExtentHeader结构字节偏移字段长度（字节）字段定义0x00~0x034逻辑块号0x04~0x074