蘋果文件系統數據恢復技術

2012/2/20 8:47:31  出處：本站   人氣：173次    字號：小  中  大

　　蘋果主流文件系統是HFS/HFS+/HFSX，廣泛應用于蘋果硬件產品，其中包括MAC機器、IPHONE、IPAD、IPOD系列。在數據恢復業務中，經常會碰到蘋果設備的數據恢復案例，例如MAC機器誤刪除了數據，MAC機器分區損壞誤格式化等，IPHONE、IPAD同步以后照片等資料丟失，IPHONE、IPAD誤刪除文件等等，都屬于蘋果HFS/HFS+/HFSX文件系統級別的數據丟失，數據恢復也要從文件系統的結構特點去分析挖掘才能得出正確的恢復方法。

　　HFS/HFS+/HFSX文件系統采用B+ Tree的文件目錄存儲結構。當創建一個文件時，操作系統就會往B+ Tree的結構中添加一個節點；當刪除一個文件時，就會從B+Tree的結構中釋放一個節點。刪除后釋放出的節點大都會清空數據指針信息，所以要從原始節點信息去尋找刪除文件的指針信息，幾乎是不可能的事情。

　　好在HFS/HFS+/HFSX在格式化的時候可以帶有日志功能，就像我寫的另一篇文章“給你一個驚喜：EXT3/EXT4文件系統數據刪除后的數據恢復”一樣，文件系統帶有日志功能，對文件的操作記錄（創建、更改、刪除）會在日志中保留有相關記錄信息。

　　但是蘋果文件系統日志在記錄方式上，跟EXT3/EXT4等日志文件系統采用的記錄方法不一樣，在EXT3/EXT4文件系統上，當刪除一個文件，操作系統先把這個文件的inode節點信息保存在日志文件中，然后才去清除原始inode的數據指針信息，這樣我們從日志文件中能找到該文件刪除之前的inode完整的信息，找到inode，我們就能把文件恢復出來。在蘋果文件系統中，當創建一個文件時，文件的節點信息先保存在日志里，然后再寫入文件系統相應位置；當刪除一個文件時，文件系統把刪除后清空的節點信息寫入日志中，然后才去更新文件原始節點信息，這樣一來，刪除文件后，日志文件中的節點信息和文件原始節點信息都是一樣的，都是清空后的節點信息，這個節點信息對于數據恢復來說，沒有任何用處！既然這樣，我們討論從日志文件恢復刪除文件到底有沒有可能呢？

　　一切皆有可能！我在開始研究蘋果文件系統的時候，也是認為不可能實現文件刪除后的恢復，但是經過了幾個數據恢復案例以后，我得出的結論是：有可能恢復！我們來想想，文件的創建、修改、刪除，都是往日志中記錄節點信息的，在刪除的這個環節上，節點信息記錄的是清空數據指針后的信息，對數據恢復沒有任何幫助。但是文件系統中文件的存在，它的必經之路是“創建”，有可能還有“修改”，到最后才有可能“刪除”，我們從文件的“創建”和“修改” 這兩個環節中，去尋找日志中的文件節點記錄信息，如果有，就能恢復出來！當然，蘋果文件系統的日志文件空間分配也是有限的，當日志文件占滿以后，會循環使用該文件存儲空間，如果有大量的文件操作，刪除文件以后，不一定能找到它的“創建”和“修改”痕跡，這樣就不好恢復，除非文件是連續存放在磁盤中，否則很難拼接出他的原始內容。

　　另外，順便提一下IPHONE的通訊錄、短消息、郵件等刪除后的恢復技術，對IPHONE中通訊錄、短消息、郵件 等刪除操作并沒有涉及到文件系統成面，涉及到的關鍵技術是sqllite數據庫，經過對sqllite數據庫底層結構的完全剖析，通訊錄、短消息、郵件等刪除還是可以恢復的，IPHONE經過幾代的升級，通訊錄、短消息、郵件的記錄方式以及預留的反刪除選項增加，所以IPHONE通訊錄、短消息、郵件等刪除以后，只要沒有太多數據寫入，數據恢復可能性還是很大的。

　　根據以上技術分析，我們把蘋果文件系統刪除數據后的恢復技術集成到了D-Recovery For MAC 數據恢復軟件中。