蘋果文件系統(tǒng)數(shù)據(jù)恢復(fù)技術(shù)

　　蘋果主流文件系統(tǒng)是HFS/HFS+/HFSX，廣泛應(yīng)用于蘋果硬件產(chǎn)品，其中包括MAC機(jī)器、IPHONE、IPAD、IPOD系列。在數(shù)據(jù)恢復(fù)業(yè)務(wù)中，經(jīng)常會(huì)碰到蘋果設(shè)備的數(shù)據(jù)恢復(fù)案例，例如MAC機(jī)器誤刪除了數(shù)據(jù)，MAC機(jī)器分區(qū)損壞誤格式化等，IPHONE、IPAD同步以后照片等資料丟失，IPHONE、IPAD誤刪除文件等等，都屬于蘋果HFS/HFS+/HFSX文件系統(tǒng)級(jí)別的數(shù)據(jù)丟失，數(shù)據(jù)恢復(fù)也要從文件系統(tǒng)的結(jié)構(gòu)特點(diǎn)去分析挖掘才能得出正確的恢復(fù)方法。

　　HFS/HFS+/HFSX文件系統(tǒng)采用B+ Tree的文件目錄存儲(chǔ)結(jié)構(gòu)。當(dāng)創(chuàng)建一個(gè)文件時(shí)，操作系統(tǒng)就會(huì)往B+ Tree的結(jié)構(gòu)中添加一個(gè)節(jié)點(diǎn)；當(dāng)刪除一個(gè)文件時(shí)，就會(huì)從B+Tree的結(jié)構(gòu)中釋放一個(gè)節(jié)點(diǎn)。刪除后釋放出的節(jié)點(diǎn)大都會(huì)清空數(shù)據(jù)指針信息，所以要從原始節(jié)點(diǎn)信息去尋找刪除文件的指針信息，幾乎是不可能的事情。

　　好在HFS/HFS+/HFSX在格式化的時(shí)候可以帶有日志功能，就像我寫的另一篇文章“給你一個(gè)驚喜：EXT3/EXT4文件系統(tǒng)數(shù)據(jù)刪除后的數(shù)據(jù)恢復(fù)”一樣，文件系統(tǒng)帶有日志功能，對(duì)文件的操作記錄（創(chuàng)建、更改、刪除）會(huì)在日志中保留有相關(guān)記錄信息。

　　但是蘋果文件系統(tǒng)日志在記錄方式上，跟EXT3/EXT4等日志文件系統(tǒng)采用的記錄方法不一樣，在EXT3/EXT4文件系統(tǒng)上，當(dāng)刪除一個(gè)文件，操作系統(tǒng)先把這個(gè)文件的inode節(jié)點(diǎn)信息保存在日志文件中，然后才去清除原始inode的數(shù)據(jù)指針信息，這樣我們從日志文件中能找到該文件刪除之前的inode完整的信息，找到inode，我們就能把文件恢復(fù)出來(lái)。在蘋果文件系統(tǒng)中，當(dāng)創(chuàng)建一個(gè)文件時(shí)，文件的節(jié)點(diǎn)信息先保存在日志里，然后再寫入文件系統(tǒng)相應(yīng)位置；當(dāng)刪除一個(gè)文件時(shí)，文件系統(tǒng)把刪除后清空的節(jié)點(diǎn)信息寫入日志中，然后才去更新文件原始節(jié)點(diǎn)信息，這樣一來(lái)，刪除文件后，日志文件中的節(jié)點(diǎn)信息和文件原始節(jié)點(diǎn)信息都是一樣的，都是清空后的節(jié)點(diǎn)信息，這個(gè)節(jié)點(diǎn)信息對(duì)于數(shù)據(jù)恢復(fù)來(lái)說(shuō)，沒(méi)有任何用處！既然這樣，我們討論從日志文件恢復(fù)刪除文件到底有沒(méi)有可能呢？

　　一切皆有可能！我在開(kāi)始研究蘋果文件系統(tǒng)的時(shí)候，也是認(rèn)為不可能實(shí)現(xiàn)文件刪除后的恢復(fù)，但是經(jīng)過(guò)了幾個(gè)數(shù)據(jù)恢復(fù)案例以后，我得出的結(jié)論是：有可能恢復(fù)！我們來(lái)想想，文件的創(chuàng)建、修改、刪除，都是往日志中記錄節(jié)點(diǎn)信息的，在刪除的這個(gè)環(huán)節(jié)上，節(jié)點(diǎn)信息記錄的是清空數(shù)據(jù)指針后的信息，對(duì)數(shù)據(jù)恢復(fù)沒(méi)有任何幫助。但是文件系統(tǒng)中文件的存在，它的必經(jīng)之路是“創(chuàng)建”，有可能還有“修改”，到最后才有可能“刪除”，我們從文件的“創(chuàng)建”和“修改” 這兩個(gè)環(huán)節(jié)中，去尋找日志中的文件節(jié)點(diǎn)記錄信息，如果有，就能恢復(fù)出來(lái)！當(dāng)然，蘋果文件系統(tǒng)的日志文件空間分配也是有限的，當(dāng)日志文件占滿以后，會(huì)循環(huán)使用該文件存儲(chǔ)空間，如果有大量的文件操作，刪除文件以后，不一定能找到它的“創(chuàng)建”和“修改”痕跡，這樣就不好恢復(fù)，除非文件是連續(xù)存放在磁盤中，否則很難拼接出他的原始內(nèi)容。

　　另外，順便提一下IPHONE的通訊錄、短消息、郵件等刪除后的恢復(fù)技術(shù)，對(duì)IPHONE中通訊錄、短消息、郵件 等刪除操作并沒(méi)有涉及到文件系統(tǒng)成面，涉及到的關(guān)鍵技術(shù)是sqllite數(shù)據(jù)庫(kù)，經(jīng)過(guò)對(duì)sqllite數(shù)據(jù)庫(kù)底層結(jié)構(gòu)的完全剖析，通訊錄、短消息、郵件等刪除還是可以恢復(fù)的，IPHONE經(jīng)過(guò)幾代的升級(jí)，通訊錄、短消息、郵件的記錄方式以及預(yù)留的反刪除選項(xiàng)增加，所以IPHONE通訊錄、短消息、郵件等刪除以后，只要沒(méi)有太多數(shù)據(jù)寫入，數(shù)據(jù)恢復(fù)可能性還是很大的。

　　根據(jù)以上技術(shù)分析，我們把蘋果文件系統(tǒng)刪除數(shù)據(jù)后的恢復(fù)技術(shù)集成到了D-Recovery For MAC 數(shù)據(jù)恢復(fù)軟件中。