恢復(fù)HFS+數(shù)據(jù)任務(wù)6.1恢復(fù)HFS+文件系統(tǒng)的卷頭

Apple計算機分區(qū)結(jié)構(gòu)介紹Apple計算機支持APM分區(qū)、GPT分區(qū)和MBR分區(qū)等硬盤分區(qū)格式。APM分區(qū)是Apple計算機獨有的分區(qū)結(jié)構(gòu)，采用Big-Endian的字節(jié)序。MBR磁盤分區(qū)僅應(yīng)用在外圍硬盤或者U盤上，方便同其他文件系統(tǒng)轉(zhuǎn)移數(shù)據(jù)。蘋果計算機無法從MBR磁盤分區(qū)硬盤上啟動蘋果系統(tǒng)。6.1.1APM分區(qū)結(jié)構(gòu)分析1）0號扇區(qū)——驅(qū)動程序描述符表標(biāo)號1：簽名值ER標(biāo)號2：每扇區(qū)字節(jié)數(shù)標(biāo)號3：扇區(qū)總數(shù)（即設(shè)備的總塊數(shù)）6.1.1APM分區(qū)結(jié)構(gòu)分析2）1號扇區(qū)——APM映射表表項（系統(tǒng)內(nèi)容）標(biāo)號1：簽名值——PM標(biāo)號2：分區(qū)個數(shù)標(biāo)號3：分區(qū)起始扇區(qū)標(biāo)號4：分區(qū)總扇區(qū)標(biāo)號5：分區(qū)總稱標(biāo)號6：分區(qū)類型標(biāo)號7：數(shù)據(jù)區(qū)起始扇區(qū)號標(biāo)號8：數(shù)據(jù)區(qū)總扇區(qū)標(biāo)號9：分區(qū)的狀態(tài)標(biāo)號10：引導(dǎo)代碼起始扇區(qū)標(biāo)號11：引導(dǎo)代碼扇區(qū)數(shù)標(biāo)號12：引導(dǎo)代碼裝載地址

APM映射表表項位于APM分區(qū)映射表第一個表項，描述分區(qū)映射表自身的一個表項6.1.1APM分區(qū)結(jié)構(gòu)分析6.1.1APM分區(qū)結(jié)構(gòu)分析3）2號扇區(qū)——空閑空間分區(qū)表項標(biāo)號1：簽名值——PM標(biāo)號2：分區(qū)個數(shù)標(biāo)號3：分區(qū)起始扇區(qū)標(biāo)號4：分區(qū)總扇區(qū)標(biāo)號5：分區(qū)總稱標(biāo)號6：分區(qū)類型123456空閑空間分區(qū)用來管理未分配的磁盤空間。6.1.1APM分區(qū)結(jié)構(gòu)分析4）3號扇區(qū)——文件系統(tǒng)分區(qū)映射表項

文件系統(tǒng)分區(qū)用來管理操作系統(tǒng)及用戶的文件。通常會有一個到多個文件系統(tǒng)分區(qū)。標(biāo)號1：簽名值——PM標(biāo)號2：分區(qū)個數(shù)標(biāo)號3：分區(qū)起始扇區(qū)標(biāo)號4：分區(qū)總扇區(qū)標(biāo)號5：分區(qū)總稱標(biāo)號6：分區(qū)類型標(biāo)號7：數(shù)據(jù)區(qū)起始扇區(qū)號標(biāo)號8：數(shù)據(jù)區(qū)總扇區(qū)標(biāo)號9：分區(qū)的狀態(tài)標(biāo)號10：引導(dǎo)代碼起始扇區(qū)標(biāo)號11：引導(dǎo)代碼扇區(qū)數(shù)標(biāo)號12：引導(dǎo)代碼裝載地址6.1.2HFS+文件系統(tǒng)結(jié)構(gòu)分析1.HFS+文件整體結(jié)構(gòu)6.1.2HFS+文件系統(tǒng)結(jié)構(gòu)分析2.HFS+文件系統(tǒng)卷頭實例圖6-8卷頭6.1.2HFS+文件系統(tǒng)結(jié)構(gòu)分析2.HFS+文件系統(tǒng)卷頭實例字節(jié)偏移字段長度（字節(jié)）字段名00H~01H2簽名值02H~03H2版本04H~07H4屬性08H~0BH4最后加載版本0CH~0FH4日志信息塊10H~13H4創(chuàng)建時間(非GMT時間，而是本地時間)14H~17H4修改時間(非GMT時間，而是本地時間)18H~1BH4備份時間(非GMT時間，而是本地時間)1CH~1FH4最后檢查時間(非GMT時間，而是本地時間)20H~23H4文件數(shù)目24H~27H4目錄數(shù)目28H~2BH4

每塊字節(jié)數(shù)2CH~2FH4總塊數(shù)表6-1HFS+文件系統(tǒng)的卷頭結(jié)構(gòu)30H~33H4空閑塊數(shù)34H~37H4下一個分配塊號38H~3BH4資源分支的塊大小3CH~3FH4數(shù)據(jù)分支的塊大小40H~43H4下一目錄的ID44H~47H8寫記數(shù)48H~4FH32文檔編碼位舊50H~6FH80系統(tǒng)引導(dǎo)信息(FinderInfo)(具體見表6-13)70H~BFH80分配文件的信息C0H~10FH80盤區(qū)溢出文件的信息110H~15FH80編錄文件的信息160H~1AFH80屬性文件的信息1B0H~1FFH80啟動文件的信息6.1.2HFS+文件系統(tǒng)結(jié)構(gòu)分析2.HFS+文件系統(tǒng)卷頭實例字節(jié)偏移字段長度（字節(jié)）字段名00H~07H8分支的總字節(jié)數(shù)08H~0BH4分支的塊組大小0CH~OFH4分支的總塊數(shù)10H~4FH648個盤區(qū)描述符(具體見表6-15)表6-2分支數(shù)據(jù)結(jié)構(gòu)字節(jié)偏移字段長度（字節(jié)）字段名00H~03H4起始塊號04H~07H4塊數(shù)表6-3盤區(qū)數(shù)據(jù)結(jié)構(gòu)任務(wù)6.2恢復(fù)HFS+文件系統(tǒng)中丟失的文件6.2.1HFS+文件系統(tǒng)節(jié)點分析1.HFS+文件系統(tǒng)的節(jié)點基本結(jié)構(gòu)

（1）節(jié)點結(jié)構(gòu)節(jié)點的類型：頭節(jié)點、位圖節(jié)點、索引節(jié)點、葉節(jié)點6.2.1HFS+文件系統(tǒng)節(jié)點分析字節(jié)偏移(相對偏移)字段長度(字節(jié))字段名和定義00H~03H4下一個節(jié)點的節(jié)點號，如果已經(jīng)是最后一個，則置004H~07H4上一個節(jié)點的節(jié)點號，如果當(dāng)前就是第一個，則置008H~08H1節(jié)點類型09H~09H1本節(jié)點在B-樹中的高度，各種類型節(jié)點的高度為:頭節(jié)點高度為0;葉節(jié)點高度為1:索引節(jié)點的高度比它指向的子節(jié)點的高度高一層0AH~OBH2該節(jié)點中的記錄數(shù)0CH~0DH2保留表6-4節(jié)點描述符的結(jié)構(gòu)節(jié)點類型占用一個字節(jié)，每個類型的節(jié)點對應(yīng)的數(shù)值是如下：1）頭節(jié)點：0x012）位圖節(jié)點:0x023）索引節(jié)點:0x004）葉節(jié)點:0xFF也就是-11.HFS+文件系統(tǒng)的節(jié)點基本結(jié)構(gòu)

（2）節(jié)點描述符6.2.1HFS+文件系統(tǒng)節(jié)點分析1.HFS+文件系統(tǒng)的節(jié)點基本結(jié)構(gòu)

（2）節(jié)點描述符節(jié)點描述符占用14字節(jié)6.2.1HFS+文件系統(tǒng)節(jié)點分析1.HFS+文件系統(tǒng)的節(jié)點基本結(jié)構(gòu)

（3）節(jié)點記錄起始偏移量列表節(jié)點記錄起始偏移量列表由若干個表項構(gòu)成，每個表項占用2個字節(jié)，用于描述一個節(jié)點記錄的起始偏移地址。節(jié)點就是通過這個節(jié)點記錄起始偏移量列表中的表項來定位和訪問每個節(jié)點記錄。圖6-16節(jié)點記錄偏移量列表6.2.1HFS+文件系統(tǒng)節(jié)點分析2.HFS+文件系統(tǒng)頭結(jié)點分析

B-樹的第一個節(jié)點都是頭節(jié)點，頭節(jié)點都是0號節(jié)點，其中包含著整個B-樹的基本信息。6.2.1HFS+文件系統(tǒng)節(jié)點分析2.HFS+文件系統(tǒng)頭結(jié)點分析

頭記錄中記錄了整個B-樹的一些重要參數(shù)，比如節(jié)點的大小、根目錄的節(jié)點號等信息。它的作用類似于一個文件系統(tǒng)的DBR。字節(jié)偏移(相對偏移)字段長度(字節(jié))字段名和定義00H~01H2B-樹深度，該值總是等于根節(jié)點的節(jié)點高度02H~05H4根節(jié)點的節(jié)點號06H~09H4葉節(jié)點包含的記錄總數(shù)0AH~0DH4第一個葉節(jié)點的節(jié)點號，如果沒有葉節(jié)點則為00EH~11H4最后一個葉節(jié)點的節(jié)點號，如果沒有葉節(jié)點則為012H~13H2每節(jié)點字節(jié)數(shù)，該值為2的整數(shù)次冪，其大小范圍為512-3276814H~15H2節(jié)點中關(guān)鍵字的最大長度16H~19H4節(jié)點總數(shù)表6-6頭記錄的結(jié)構(gòu)（部分參數(shù)）6.2.1HFS+文件系統(tǒng)節(jié)點分析2.HFS+文件系統(tǒng)頭結(jié)點分析

頭記錄中記錄了整個B-樹的一些重要參數(shù)，比如節(jié)點的大小、根目錄的節(jié)點號等信息。它的作用類似于一個文件系統(tǒng)的DBR。圖6-18 頭記錄結(jié)構(gòu)6.2.1HFS+文件系統(tǒng)節(jié)點分析3.HFS+文件系統(tǒng)索引節(jié)點分析

HFS+文件系統(tǒng)的索引節(jié)點主要用來存放指針記錄，它存放具體的文件信息，通過索引節(jié)點可以可以快速的找到目標(biāo)文件。字節(jié)偏移字段長度含義00H~01H2關(guān)鍵字的長度(N)。02H~(N+1)HN關(guān)鍵字。14H~17H4該索引節(jié)點的孩子節(jié)點號。表6-7索引節(jié)點的指針記錄結(jié)構(gòu)圖6-19索引節(jié)點中的關(guān)鍵字結(jié)構(gòu)6.2.1HFS+文件系統(tǒng)節(jié)點分析4.HFS+文件系統(tǒng)葉節(jié)點分析HFS+文件系統(tǒng)的葉節(jié)點位于B-樹的最底層，主要用來存放數(shù)據(jù)記錄，它存儲了文件的大小、起始塊號、創(chuàng)建時間等關(guān)鍵信息。字節(jié)偏移字段長度字段名和含義00H~01H2關(guān)鍵字的長度(N)02H~(N+1)HN關(guān)鍵字(N+2)H~~關(guān)鍵字對應(yīng)的數(shù)據(jù)記錄葉節(jié)點記錄結(jié)構(gòu)6.2.2編錄文件1.

結(jié)構(gòu)分析編錄文件是HFS+文件系統(tǒng)中非常重要的元文件，該文件中包含著許多信息，HFS+文件系統(tǒng)利用這些信息維系著宗卷中的文件和目錄間的層次關(guān)系。編錄文件使用B-樹結(jié)構(gòu)來組織數(shù)據(jù)，編錄文件中一般包含頭節(jié)點、索引節(jié)點、葉節(jié)點，如果編錄文件中的節(jié)點數(shù)較多，則可能會用到位圖節(jié)點。

編錄文件的起始位置由卷頭中的“編錄文件信息”描述，編錄文件的開頭是頭節(jié)點，在頭節(jié)點中描述了根節(jié)點信息，通過根節(jié)點可以找到索引節(jié)點或葉節(jié)點，最后找到目標(biāo)文件。頭節(jié)點（0號）葉節(jié)點1葉節(jié)點2索引節(jié)點……葉節(jié)點N……卷頭編錄文件6.2.2編錄文件2.

關(guān)鍵字結(jié)構(gòu)字節(jié)偏移字段長度字段名和含義00H~03H4父目錄ID04H~05H2節(jié)點名的字符數(shù)，這里用N表示字符數(shù)06H~2N節(jié)點名圖6-21關(guān)鍵字結(jié)構(gòu)6.2.2編錄文件2.文件記錄結(jié)構(gòu)表6-11記錄類型類型值記錄類型類型值記錄類型0001H文件夾記錄0003H文件夾鏈接記錄0002H文件記錄0004H文件鏈接記錄字節(jié)偏移字段長度字段名和定義字節(jié)偏移字段長度字段名和定義00H~01H2記錄類型1CH~1FH4最后備份時間（GMT時間）02H~03H2文件標(biāo)志20H~2FH16文件夾許可權(quán)限（見表6-32）04H~07H4保留30H~3FH16用戶信息08H~0BH4文件夾的CNID40H~4FH16系統(tǒng)引導(dǎo)信息（FinderInfo）0CH~0FH4文件夾創(chuàng)建時間（GMT時間）50H~53H4文檔命名編碼10H~13H4文件夾修改時間（GMT時間）54H~57H4保留14H~17H4屬性修改時間（GMT時間）58H~A7H80數(shù)據(jù)分支信息（具體見表6-35）18H~1BH4最后訪問時間（GMT時間）A8H~F7H80資源分支信息（具體見表6-35）表6-12文件記錄結(jié)構(gòu)6.2.2編錄文件2.文件記錄結(jié)構(gòu)表6-13數(shù)據(jù)分支結(jié)構(gòu)字節(jié)偏移字段長度字段名和定義字節(jié)偏移字段長度字段名和定義00H~07H8文件總字節(jié)數(shù)2CH~2FH4第四個盤區(qū)的塊數(shù)08H~0BH4數(shù)據(jù)分支的塊組大小30H~33H4第五個盤區(qū)的起始塊號0CH~0FH4數(shù)據(jù)分支的總塊數(shù)34H~37H4第五個盤區(qū)的塊數(shù)10H~13H4第一個盤區(qū)的起始塊號38H~3BH4第六個盤區(qū)的起始塊號14H~17H4第一個盤區(qū)的塊數(shù)3CH~3FH4第六個盤區(qū)的塊數(shù)18H~1BH4第二個盤區(qū)的起始塊號40H~43H4第七個盤區(qū)的起始塊號1CH~1FH4第二個盤區(qū)的塊數(shù)