Восстановление данных. Практическое руководство

Касперски Крис

/* 0x28 */ int32_t cg_rotor; /* Положение посл. исп. блока */

/* 0x2C */ int32_t cg_frotor; /* Положение посл. исп. фрагмента */

/* 0x30 */ int32_t cg_irotor; /* Положение посл. исп. inode */

/* 0x34 */ int32_t cg_frsum[MAXFRAG]; /* Счетчик доступных фрагментов */

/* 0x54 */ int32_t cg_old_btotoff; /* (int32) блоков на цилиндр */

/* 0x58 */ int32_t cg_old_boff; /* (u_int16) своб. позиций блоков */

/* 0x5C */ int32_t cg_iusedoff; /* (u_int8)

карта исп. inode */

/* 0x60 */ int32_t сg_freeoff; /* (u_int8) карта своб. блоков */

/* 0x64 */ int32_t cg_nextfreeoff; /* (u_int8) след. своб. блок */

/* 0x68 */ int32_t cg_clustersumoff; /* (u_int32) счетчик своб. кластеров */

/* 0x6C */ int32_t cg_clusteroff; /* (u_int8) карта своб. кластеров */

/* 0x70 */ int32_t cg_nclusterblks; /* Кол-во кластеров в этой гц */

/* 0x74 */ int32_t cg_niblk; /* Кол-во блоков inode в этой гц */

/* 0x78 */ int32_t cg_initediblk; /* Посл. инициализированный inode */

/* 0х7С */ int32_t cg_sparecon32[3]; /* Зарезервировано */

/* 0x00 */ ufs_time_t cg_time; /* Время последней записи */

/* 0x00 */ int64_t cg_sparecon64[3]; /* Зарезервировано */

/* 0x00 */ u_int8_t cg_space[1]; /* Место для карт гц */

/* реально больше */

Между описателем группы цилиндров и группой inode расположены карта занятых inode и карта свободного дискового пространства, представляющие собой обыкновенные битовые поля, точно такие же, как и в NTFS. При восстановлении удаленных файлов без этих карт обойтись невозможно. Они существенно сужают круг поиска, что особенно хорошо заметно на дисках, заполненных более чем наполовину.

За картами следует массив inode, смещение которого содержится в поле

cg_iusedoff

(адрес первой группы inode продублирован в суперблоке). По сути, в UFS структура inode ничем не отличается от ext2fs, только расположение полей другое. К тому же, имеется только один блок косвенной адресации вместо трех, но это уже детали, не имеющие большого практического значения. Рассмотрим назначение фундаментальных полей, к числу которых принадлежат:

?

di_nlink

— количество ссылок на файл (0 означает "удален");

?

di_size

— размер файла в байтах;

?

di_atime

/

di_atimensec

— время последнего доступа к файлу;

?

di_mtime

/

di_mtimensec

— время последней модификации;

?

di_ctime

/

di_ctimensec

— время последнего изменения inode;

?

di_db

— адреса первых 12 блоков данных файла, отсчитываемые во фрагментах от начала группы цилиндров;

?

di_ib

—

адрес блоков косвенной адресации (фрагменты от начала группы).

Сама структура inode определена в файле /src/ufs/ufs/dinode.h. Для UFS1 эта структура выглядит, как показано в листинге 8.9 и на рис. 8.11.

Рис. 8.11. Схематичное изображение inode

Листинг 8.9. Структура inode в UFS1

struct dinode {

/* 0x00 */ uint16_t di_mode; /* 0: IFMT, права доступа; */

/* см. ниже */

/* 0x02 */ int16_t di_nlink; /* 2: Счетчик ссылок */

/* 0x04 */ union {

uint16_t oldids[2]; /* 4: Ffs: старые ID */

/* пользователя и группы */

int32_t inumber; /* 4: Lfs: номер inode */

} di_u;

/* 0x08 */ u_int64_t di_size; /* 8: Счетчик байтов файла */

/* 0x10 */ int32_t di_atime; /* 16: Время последнего доступа */

/* 0x14 */ int32_t di_atimensec; /* 20: Время последнего доступа */

/* 0x18 */ int32_t di_mtime; /* 24: Время последней */

/* модификации */

/* 0x1C */ int32_t di_mtimensec; /* 28: Время последней */

/* модификации */

/* 0x20 */ int32_t di_ctime; /* 32: Время последнего */

/* изменения inode */

/* 0x24 */ int32_t di_ctimensec; /* 36: Время последнего */

/* изменения inode */

/* 0x28 */ ufs_daddr_t di_db[NDADDR]; /* 40: Непоср. дисковые блоки */

/* 0x58 */ ufs_daddr_t di_ib[NIADDR]; /* 88: Косв. дисковые блоки */

/* 0x64 */ u_int32_t di_flags; /* 100: Флаги статуса (chflags) */

/* 0x68 */ int32_t di_blocks; /* 104: Факт, занятые блоки */

/* 0x6C */ int32_t di_gen; /* 108: Номер генерации */

/* 0x70 */ u_int32_t di_uid; /* 112: Владелец файла */

/* 0x74 */ u_int32_t di_gid; /* 116: Группа файла */

/* 0x78 */ int32_t di_spare[2]; /* 120: Зарезервировано */

};

В UFS2 формат inode был существенно изменен — появилось множество новых полей, удвоилась ширина адресных полей (листинг 8.10). Что это обозначает для нас в практическом плане? Смещения всех полей изменились, только и всего, а общий принцип работы с индексными дескрипторами остался прежним.

Листинг 8.10. Структура inode в USF2