計算機數(shù)據(jù)恢復(fù)技術(shù) 課件 第4章 Linux系統(tǒng)的數(shù)據(jù)恢復(fù)

第4章

Linux系統(tǒng)的數(shù)據(jù)恢復(fù)主編：王平均覃楨4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.1MBR分區(qū)結(jié)構(gòu)分析

通過主引導(dǎo)記錄的結(jié)構(gòu)可知，它僅包含一個64字節(jié)的分區(qū)表。因為每個分區(qū)信息需要16字節(jié)，所以對于MBR分區(qū)結(jié)構(gòu)，最多只能識別4個主分區(qū)。對于一個采用此種分區(qū)結(jié)構(gòu)的磁盤，要想得到4個以上的主分區(qū)是不可能的，因此就需要引出擴展分區(qū)的概念了。擴展分區(qū)也是主分區(qū)的一種，但它與主分區(qū)的不同是，可以從理論上劃分為無數(shù)個邏輯分區(qū)。

在擴展分區(qū)中，邏輯驅(qū)動器的引導(dǎo)記錄是鏈?zhǔn)降摹Ｃ總€邏輯分區(qū)都有一個和MBR分區(qū)結(jié)構(gòu)類似的擴展引導(dǎo)記錄（ExtendedBootRecord，EBR）。在EBR分區(qū)表中，第一項指向該邏輯分區(qū)本身的引導(dǎo)扇區(qū)；第二項指向下一個邏輯驅(qū)動器的EBR；第三項、第四項目前沒有用到。4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.1MBR分區(qū)結(jié)構(gòu)分析Windows系統(tǒng)在默認(rèn)情況下一般只為系統(tǒng)劃分一個主分區(qū)，剩余的部分全部劃入擴展分區(qū)。這里需要注意以下幾點。

在MBR分區(qū)表中，最多存在4個主分區(qū)或3個主分區(qū)+1個擴展分區(qū)，也就是說，擴展分區(qū)只能存在一個，但是可以在此基礎(chǔ)上細(xì)分出多個邏輯分區(qū)。

在Linux系統(tǒng)中，磁盤分區(qū)命名為sda1～sda4或hda1～hda4（其中a表示磁盤編號，而磁盤編號可能是a、b、c等）。在MBR分區(qū)中，主分區(qū)（或擴展分區(qū)）號為1～4，邏輯分區(qū)號只能從5開始。

在MBR分區(qū)表中，一個分區(qū)的最大空間為2TB，且每個分區(qū)的起始柱面必須在這個磁盤的前2TB空間內(nèi)。例如，現(xiàn)有一個3TB的磁盤，根據(jù)要求應(yīng)至少將其劃分為兩個分區(qū)，且最后一個分區(qū)的起始扇區(qū)要位于磁盤的前2TB空間內(nèi)。如果磁盤太大則必須改用GPT。4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.1MBR分區(qū)結(jié)構(gòu)分析

與支持最大卷為2TB且每個磁盤最多有4個主分區(qū)（或3個主分區(qū)、1個擴展分區(qū)和不限制數(shù)量的邏輯驅(qū)動器）的MBR分區(qū)結(jié)構(gòu)相比，GPT（GUIDPartitionTable）分區(qū)結(jié)構(gòu)最大支持128個分區(qū)，每個分區(qū)最大空間為18EB（Exabyte），且分區(qū)的數(shù)量只受到操作系統(tǒng)限制［由于分區(qū)表本身需要占用一定空間，在最初規(guī)劃分區(qū)時，留給分區(qū)表的空間決定了最多可以存在多少個分區(qū)，如IA-64版Windows系統(tǒng)限制最多存在128個分區(qū)，這也是可擴展固件接口（ExtensibleFirmwareInterface，EFI）標(biāo)準(zhǔn)規(guī)定的分區(qū)表的最小尺寸］。

與MBR分區(qū)結(jié)構(gòu)不同，GPT分區(qū)結(jié)構(gòu)的至關(guān)重要的平臺操作數(shù)據(jù)位于分區(qū)，而不是位于非分區(qū)或隱含扇區(qū)。另外，GPT分區(qū)存在備份分區(qū)表，以用來提高分區(qū)數(shù)據(jù)結(jié)構(gòu)的完整性。在UEFI（UnifiedEFI）系統(tǒng)中，通常會通過在EFI系統(tǒng)分區(qū)中的EFI應(yīng)用程序文件引導(dǎo)GPT硬盤上的操作系統(tǒng)，而不會通過活動主分區(qū)上的引導(dǎo)程序引導(dǎo)GPT分區(qū)上的操作系統(tǒng)。4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析Linux系統(tǒng)的GPT分區(qū)結(jié)構(gòu)和Windows系統(tǒng)的GPT分區(qū)結(jié)構(gòu)完全一樣。GPT是作為EFI的一部分被引入的。

（1）EFI信息區(qū)（GPT頭）。GPT頭起始于磁盤的LBA1扇區(qū)，通常只占用這個單一扇區(qū)。其作用是定義分區(qū)表的位置和大小。GPT頭還包含GPT頭和分區(qū)表的校驗和。通過這個校驗和可以及時發(fā)現(xiàn)錯誤LBA英文全稱為LogicalBlockAddress，含義為邏輯區(qū)塊地址。1．EFI部分。EFI部分可以分為4個區(qū)域：

（2）分區(qū)表。分區(qū)表包含分區(qū)表項。這個區(qū)域由GPT頭定義，一般占用磁盤LBA2～LBA33扇區(qū)

（3）分區(qū)區(qū)域。GPT分區(qū)是這部分最大的區(qū)域，由分配給分區(qū)的扇區(qū)組成。

（4）備份區(qū)域。備份區(qū)域位于磁盤的尾部，包含GPT頭和分區(qū)表的備份。4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（1）進(jìn)入“初始化磁盤”對話框，如圖4-1所示，選擇“磁盤2”選項，選擇GPT磁盤分區(qū)形式，雖然此時磁盤2依然顯示為基本磁盤，但它的引導(dǎo)區(qū)已不再是MBR形式的了，而是GPT形式的了。2．GPT分區(qū)創(chuàng)建方法。圖4-1“初始化磁盤”對話框4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（2）在Windows系統(tǒng)桌面“運行”文本框內(nèi)輸入“diskpart”命令，如圖4-2所示。2．GPT分區(qū)創(chuàng)建方法。圖4-2輸入“diskpart”命令4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（3）運行該命令后，首先選擇系統(tǒng)下我們創(chuàng)建的GPT分區(qū)的磁盤2以創(chuàng)建EFI系統(tǒng)分區(qū)，輸入命令“selectdisk2”后按回車鍵，選擇磁盤2，輸入創(chuàng)建EFI系統(tǒng)分區(qū)的命令“createpartitionefisize=n”，如圖4-3所示。其中，“n”為EFI系統(tǒng)分區(qū)的大小，單位是MB，此處將“n”設(shè)置為100，即在磁盤2上創(chuàng)建100

MB的EFI系統(tǒng)分區(qū)。2．GPT分區(qū)創(chuàng)建方法。圖4-3創(chuàng)建EFI系統(tǒng)分區(qū)4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

以同樣的方法創(chuàng)建其他分區(qū)，如圖4-4所示。2．GPT分區(qū)創(chuàng)建方法。圖4-4創(chuàng)建其他分區(qū)4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析GPT分區(qū)由6部分組成，如表4-1所示。3．GPT分區(qū)結(jié)構(gòu)的原理保護(hù)MBR區(qū)域GPT頭分區(qū)表分區(qū)區(qū)域分區(qū)表備份GPT頭備份

（1）保護(hù)MBR區(qū)域：在一個Linux系統(tǒng)的GPT分區(qū)中，將0號扇區(qū)（LBA0）作為保護(hù)MBR區(qū)域，如圖4-5所示。圖4-5保護(hù)MBR區(qū)域4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（2）GPT頭：GPT頭位于GPT分區(qū)的第二個扇區(qū)，也就是1號扇區(qū)（LBA1）。該扇區(qū)是在創(chuàng)建GPT分區(qū)時生成的，GPT頭會定義分區(qū)的起始位置、分區(qū)表的結(jié)束位置、每個分區(qū)表項的大小、分區(qū)表項的個數(shù)及分區(qū)表的校驗和等信息。GPT頭如圖4-6所示。圖4-6

GPT頭4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（3）分區(qū)表：分區(qū)表位于GPT分區(qū)的2～33號扇區(qū)（LBA2～LBA33），共占用32個扇區(qū)。每個分區(qū)表項用于記錄分區(qū)表的起始和結(jié)束位置、分區(qū)類型的GUID、分區(qū)名字、分區(qū)屬性和分區(qū)GUID。一個GPT分區(qū)的4個分區(qū)表項如圖4-7所示。圖4-7一個GPT分區(qū)的4個分區(qū)表項4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（4）分區(qū)區(qū)域：分區(qū)區(qū)域通常都是起始于GPT分區(qū)的34號扇區(qū)（LBA34），是整個GPT分區(qū)中最大的區(qū)域，由多個分區(qū)組成，如EFI系統(tǒng)分區(qū)、微軟保留分區(qū)、LDM元數(shù)據(jù)分區(qū)、LDM數(shù)據(jù)頭備份分區(qū)、OEM分區(qū)、主分區(qū)等。分區(qū)區(qū)域的起始地址和結(jié)束地址由GPT頭定義。

（5）分區(qū)表備份：分區(qū)區(qū)域結(jié)束后，緊跟著就是分區(qū)表備份，其地址在GPT頭備份扇區(qū)中有描述。分區(qū)表備份是對分區(qū)表32個扇區(qū)的完整備份。如果分區(qū)表被破壞，則系統(tǒng)就會自動讀取分區(qū)表備份，以保證正常識別分區(qū)。

（6）GPT頭備份：GPT頭有一個備份，在GPT分區(qū)的最后一個扇區(qū)中。這個GPT頭備份并不是簡單的GPT頭的復(fù)制品。GPT頭備份和GPT頭的結(jié)構(gòu)雖然一樣，但有些參數(shù)不一樣。4.2Ext4文件系統(tǒng)的特點

第四代擴展文件系統(tǒng)簡稱Ext4文件系統(tǒng)，是Linux系統(tǒng)下的日志文件系統(tǒng)，是Ext3文件系統(tǒng)的后繼版本。

然而，某些Linux系統(tǒng)開發(fā)者因追求穩(wěn)定性等原因拒絕將這些延伸包應(yīng)用在Ext3文件系統(tǒng)上，并要求將這些延伸包作為Ext3文件系統(tǒng)的分支，將其改名為Ext4文件系統(tǒng)并對其另行開發(fā)，以免影響當(dāng)前的Ext3文件系統(tǒng)的使用。該要求被接受以后，Ext3文件系統(tǒng)維護(hù)者曹子德在2006年6月28日公開了Ext4文件系統(tǒng)的開發(fā)項目。

Ext4文件系統(tǒng)的原始開發(fā)目標(biāo)是一系列地向下兼容Ext3文件系統(tǒng)與提升其性能的延伸包。

在Linux2.6.19版本中，首次加入了Ext4文件系統(tǒng)的一個早期開發(fā)版本。在2008年10月11日，Ext4文件系統(tǒng)加入Linux2.6.29版本的源代碼，從而使Ext4文件系統(tǒng)的開發(fā)階段進(jìn)入尾聲。2008年12月25日，Linux2.6.29版本公開發(fā)布，Ext4文件系統(tǒng)成為Linux公司官方建議的默認(rèn)文件系統(tǒng)。4.2Ext4文件系統(tǒng)的特點

2010年1月15日，Google公司宣布將該公司使用的文件系統(tǒng)由Ext2文件系統(tǒng)升級為Ext4文件系統(tǒng)。在同年12月14日，Google公司宣布，他們將在Android2.3版中使用Ext4文件系統(tǒng)來取代之前的YAFFS（YetAnotherFlashFileSystem）。

Ext4文件系統(tǒng)的特點如下。

1．大型文件系統(tǒng)：Ext4文件系統(tǒng)可支持最大1EB的分區(qū)與最大16TB的文件。2．Extent存儲方式：Ext4文件系統(tǒng)引進(jìn)了Extent存儲方式，從而取代了Ext2文件系統(tǒng)與Ext3文件系統(tǒng)使用的blockmapping存儲方式。3．向下兼容：Ext4文件系統(tǒng)向下可兼容Ext3文件系統(tǒng)與Ext2文件系統(tǒng)，因此可以將Ext3文件系統(tǒng)和Ext2文件系統(tǒng)掛載為Ext4文件系統(tǒng)的分區(qū)。4.預(yù)留磁盤空間：Ext4文件系統(tǒng)可以為一個文件預(yù)留磁盤空間。5.延遲獲取磁盤空間：Ext4文件系統(tǒng)通過allocate-on-flush方式，使數(shù)據(jù)在被寫入磁盤前才開始獲取磁盤空間，而大多數(shù)文件系統(tǒng)會在此更早時開始獲取磁盤空間。4.2Ext4文件系統(tǒng)的特點6．突破32

000子目錄的限制：在Ext3文件系統(tǒng)的一個目錄下最多只能存在32

000個子目錄，而Ext4文件系統(tǒng)的子目錄可達(dá)64

000個，且使用“dir_nlink”功能后可以達(dá)到更高的數(shù)量。7．日志校驗和：Ext4文件系統(tǒng)通過使用日志校驗和不僅可以提高文件系統(tǒng)可靠性，而且可以安全地避免系統(tǒng)處理日志時磁盤的I/O等待，并可提高一些系統(tǒng)性能。8.磁盤整理：即使Ext4文件系統(tǒng)包含了許多避免磁盤碎片的技術(shù)，但是磁盤碎片還是會在使用過的文件系統(tǒng)中長時間存在。目前，絕大多數(shù)主流操作系統(tǒng)的內(nèi)核中都不具有磁盤整理工具，而Ext4文件系統(tǒng)則有一個磁盤整理工具。9.快速文件系統(tǒng)檢查：Ext4文件系統(tǒng)將未使用的區(qū)塊標(biāo)記在inode當(dāng)中，這樣可以使諸如e2fsck的工具在磁盤檢查時完全跳過這些區(qū)塊，從而節(jié)省大量文件系統(tǒng)檢查的時間。4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)

從Ext文件系統(tǒng)中提取數(shù)據(jù)的流程如圖4-8所示。圖4-8從Ext文件系統(tǒng)中提取數(shù)據(jù)的流程4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)Ext文件系統(tǒng)的MBR格式如圖4-9中的陰影部分所示。圖4-9Ext文件系統(tǒng)的MBR格式4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)

（1）在起始扇區(qū)處跳轉(zhuǎn)2048個扇區(qū)，到達(dá)超級塊起始扇區(qū)，在此基礎(chǔ)上再跳轉(zhuǎn)2個扇區(qū)就可以找到0號超級塊。也可打開“查找十六進(jìn)制數(shù)值”對話框，按照如圖4-10所示的參數(shù)進(jìn)行設(shè)置，以搜索到0號超級塊。圖4-10搜索0號超級塊4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)0號超級塊如圖4-11所示。從圖4-11中也可以看出0號超級塊的總塊數(shù)，并可以計算出每塊大小塊。圖4-110號超級塊4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)

（2）跳轉(zhuǎn)到1號目錄i節(jié)點有兩種方式，第一種方式是從超級塊起始扇區(qū)跳轉(zhuǎn)8個扇區(qū)到1號目錄i節(jié)點；第二種方式是從0號超級塊跳轉(zhuǎn)6個扇區(qū)到1號目錄i節(jié)點。1號目錄i節(jié)點如圖4-12所示。其中，1號目錄i節(jié)點的第一行08H處的數(shù)值×每塊大小=2號目錄i節(jié)點的扇區(qū)數(shù)，即1057×8=8456。圖4-121號目錄i節(jié)點4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)

（3）從超級塊起始扇區(qū)開始跳轉(zhuǎn)8456個扇區(qū)就到了2號目錄i節(jié)點扇區(qū)，主要存放目錄區(qū)，如圖4-13所示。圖4-13中的1和2處的格式是一樣的，主要看中間的最后字節(jié)?？梢酝ㄟ^數(shù)據(jù)解釋器發(fā)現(xiàn)其數(shù)值為9249。所用目錄區(qū)的扇區(qū)數(shù)=9249×每塊大小，即9249×8=73

992。圖4-13

2號目錄i節(jié)點扇區(qū)4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)

（4）從