重建NTFS文件目录树的方法、设备及存储介质技术

本发明专利技术公开一种重建NTFS文件目录树的方法，步骤包括：遍历目标分区磁盘，提取特征值为“FILE”的文件记录项；对特征值为“FILE”的文件记录项进行分析处理；根据处理得到的文件记录项信息，构建文件目录树。本发明专利技术还公开了一种电子设备和存储介质。本发明专利技术的技术方案能解决现有技术方案存在难以根据NTFS分区丢失文件数据后的不同分区储存场景，难以高效、准确的还原文件目录树结构的技术问题。

Methods, devices and storage media for rebuilding NTFS file directory tree

【技术实现步骤摘要】
重建NTFS文件目录树的方法、设备及存储介质
本专利技术涉及数据恢复
，尤其涉及一种重建NTFS文件目录树的方法、设备及存储介质。
技术介绍
NTFS(NewTechnologyFileSystem，新技术文件系统)丢失数据恢复的过程中，需要根据每个文件记录项的MFT(MasterFileTable，主文件表)文件记录号与父目录文件记录号来构建原分区的目录树结构，以还原原分区的文件目录树状态。对于新找到的文件记录项，现有技术中一般是在已找到的文件记录项中搜索该文件记录项的父节点。但对于先找到子文件记录项，后找到父文件记录项的情景，则不能将子文件记录项与父文件记录项正确关联。现有技术还需通过计算父文件记录项所在位置，获取父文件记录项信息。但在实践过程中，计算父文件记录项所在位置需要更多的磁盘和处理器进行随机读取，提高了数据处理的成本和时间，降低了数据处理的效率准确性。并且若$MFT文件的DataRuns(文件数据碎片块链表)信息不正确，则无法正确获取父文件记录项所在位置、准确的还原文件目录树结构。综上所述，现有技术方案存在难以根据NTFS分区丢失文件数据后的不同分区储存场景，高效、准确的还原文件目录树结构的技术问题。
技术实现思路
本专利技术提供一种重建NTFS文件目录树的方法、系统及存储介质，旨在解决现有技术中难以高效、准确的还原文件目录树结构的技术问题。为实现上述目的，根据本专利技术的第一方面，本专利技术提出了一种重建NTFS文件目录树的方法，步骤包括：遍历目标分区磁盘，提取具有预设特征值的文件记录项作为目标文件记录项；对所有目标文件记录项进行分析处理，得到文件记录项信息；根据处理得到的文件记录项信息，构建文件目录树。优选地，所述预设特征值为FILE，所述提取具有预设特征值的文件记录项作为目标文件记录项的步骤，包括：提取所述目标分区磁盘中，0x00地址起的4个字节为FILE的扇区和\或簇，为目标文件记录项。优选地，所述对所有目标文件记录项进行分析处理，得到文件记录项信息的步骤，包括：确定所有目标文件记录项的类型；解析目标文件记录项的属性以提取$FILE_NAME文件名，以及通过$FILE_NAME文件名获取父目录的MFT记录号。优选地，所述确定所有目标文件记录项的类型的步骤，包括：根据地址为0x16的标记确定所有目标文件记录项的类型。优选地，所述解析所述目标文件记录项的属性以提取$FILE_NAME文件名，以及通过$FILE_NAME文件名获取父目录的MFT记录号的步骤，包括：解析属性地址中序号为0x30的数据，从而获得$FILE_NAME文件名；通过解析$FILE_NAME文件名中序号为0x00的数据获取父目录文件引用，并从所述父目录文件引用中获取所述父目录的MFT记录号。优选地，所述根据处理得到的文件记录项信息，构建文件目录树的步骤包括：将目标分区磁盘中的根目录节点作为目录树的顶点；以所述顶点为父节点，创建相对所述顶点的丢失目录节点；根据文件记录项信息中所有目标文件记录项的类型以及父目录的MFT记录号对包括顶点和丢失目录节点的目录树进行处理完善。优选地，所述根据文件记录项信息中所有目标文件记录项的类型以及所述父目录的MFT记录号对包括顶点和丢失目录节点的目录树进行处理完善的步骤，包括：将父目录的MFT记录号作为关键词遍历当前目录树，以查找出与所述关键词存在匹配关系的父目录节点；将存在匹配关系的关键词所在的，且所述类型为目录类的目标文件记录项插入成为关键词对应匹配的父目录节点的子节点；将不存在匹配关系的关键词所在的，且所述类型为目录类的目标文件记录项插入至所述丢失目录节点下。优选地，所述方法还包括：在所有类型为目录类的目标文件记录项已插入至目录树后，执行以下步骤以将所述类型为文件类的目标文件记录项插入至目录树中：将存在匹配关系的关键词所在的，且所述类型为文件类的目标文件记录项插入成为关键词对应匹配的父目录节点的子节点；将不存在匹配关系的关键词所在的，且所述类型为文件类的目标文件记录项插入至所述丢失目录节点下。为实现上述目的，根据本专利技术的第二方面，本专利技术提出了一种电子设备，包括：存储器，用于存储计算机程序；处理器，用于执行所述计算机程序时实现所述重建NTFS文件目录树的方法的步骤。为实现上述目的，根据本专利技术的第三方面，本专利技术提出了一种计算机可读存储介质，所述计算机可读存储介质上存储有重建NTFS文件目录树的程序，所述重建NTFS文件目录树的程序被处理器执行时实现所述的重建NTFS文件目录树的方法的步骤。本申请提出的技术方案，通过遍历目标分区磁盘，提取具有预设特征值的所有文件记录项，将全部目标文件记录项统一进行分析处理，在解决扫描阶段文件目录树不准确的技术问题的同时，还能够有效降低磁盘随机读取导致的磁盘占用率过高，数据处理效率过低的情况，提升数据恢复过程的性能。本申请提出的技术方案，还通过创建一个丢失目录节点，将未找到能匹配的父目录节点的文件记录项插入到所述丢失目录节点中。从而解决了现有技术方案存在难以根据NTFS分区丢失文件数据后的不同分区储存场景，高效、准确的还原文件目录树结构的技术问题。实现对NTFS分区中收集的文件记录信息准确组装为有效的目录结构，更准确的还原丢失前的文件目录树结构的技术效果。附图说明为了更清楚地说明本专利技术实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本专利技术的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图示出的结构获得其他的附图。图1是本专利技术一示例性实施例提供的一种的流程示意图。本专利技术目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。具体实施方式应当理解，此处所描述的具体实施例仅仅用以解释本专利技术，并不用于限定本专利技术。NTFS是NewTechnologyFileSystem新技术文件系统的简称，是WindowsNT内核的系列操作系统支持的、一个特别为网络和磁盘配额、文件加密等管理安全特性设计的磁盘格式，提供长文件名、数据保护和恢复，能通过目录和文件许可实现安全性，并支持跨越分区。NTFS是以MFT(MasterFileTable，主文件表或主索引记录)为核心，将整个分区的系统文件和用户文件有机组织起来的文件系统。因此，在NTFS文件系统中，文件和目录存储相关的信息主要在$MFT元文件($MFT元文件不同于MFT文件，$MFT元文件中包含了所有的MFT文件记录)中储存管理，其中$MFT元文件中至少包括一个文件记录项(FileRecord)，即单个管理单元为文件记录项。实际上，文件删除操作只是在文件记录项中标记为删除状态，并不会立即删除文件记录项和实际的数据区。并且，分区本文档来自技高网...

【技术保护点】
1.一种重建NTFS文件目录树的方法，其特征在于，步骤包括：/n遍历目标分区磁盘，提取具有预设特征值的文件记录项作为目标文件记录项；/n对所有目标文件记录项进行分析处理，得到文件记录项信息；/n根据处理得到的文件记录项信息，构建文件目录树。/n

【技术特征摘要】
1.一种重建NTFS文件目录树的方法，其特征在于，步骤包括：
遍历目标分区磁盘，提取具有预设特征值的文件记录项作为目标文件记录项；
对所有目标文件记录项进行分析处理，得到文件记录项信息；
根据处理得到的文件记录项信息，构建文件目录树。


2.如权利要求1所述的重建NTFS文件目录树的方法，其特征在于，所述预设特征值为FILE，所述提取具有预设特征值的文件记录项作为目标文件记录项的步骤，包括：
提取所述目标分区磁盘中，0x00地址起的4个字节为FILE的扇区和\或簇，为目标文件记录项。


3.如权利要求1所述的重建NTFS文件目录树的方法，其特征在于，所述对所有目标文件记录项进行分析处理，得到文件记录项信息的步骤，包括：
确定所有目标文件记录项的类型；
解析目标文件记录项的属性以提取$FILE_NAME文件名，以及通过$FILE_NAME文件名获取父目录的MFT记录号。


4.如权利要求3所述的重建NTFS文件目录树的方法，其特征在于，所述确定所有目标文件记录项的类型的步骤，包括：
根据地址为0x16的标记确定所有目标文件记录项的类型。


5.如权利要求3所述的重建NTFS文件目录树的方法，其特征在于，所述解析所述目标文件记录项的属性以提取$FILE_NAME文件名，以及通过$FILE_NAME文件名获取父目录的MFT记录号的步骤，包括：
解析属性地址中序号为0x30的数据，从而获得$FILE_NAME文件名；
通过解析$FILE_NAME文件名中序号为0x00的数据获取父目录文件引用，并从所述父目录文件引用中获取所述父目录的MFT记录号。


6.如权利要求3所述的重建NTFS文件目录树的方法，其特征在于，所述根据处理得到的文件记录项信息，构建文件目录树的步骤包括：
将...

【专利技术属性】
技术研发人员：蔡文锦，
申请(专利权)人：深圳市斯博科技有限公司，
类型：发明
国别省市：广东;44