第4章

Linux系統(tǒng)的數(shù)據(jù)恢復(fù)主編：王平均4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.1MBR分區(qū)結(jié)構(gòu)分析

通過主引導(dǎo)記錄的結(jié)構(gòu)可知，它僅包含一個64字節(jié)的分區(qū)表。因為每個分區(qū)信息需要16字節(jié)，所以對于MBR分區(qū)結(jié)構(gòu)，最多只能識別4個主分區(qū)。對于一個采用此種分區(qū)結(jié)構(gòu)的磁盤，要想得到4個以上的主分區(qū)是不可能的，因此就需要引出擴展分區(qū)的概念了。擴展分區(qū)也是主分區(qū)的一種，但它與主分區(qū)的不同是，可以從理論上劃分為無數(shù)個邏輯分區(qū)。

在擴展分區(qū)中，邏輯驅(qū)動器的引導(dǎo)記錄是鏈?zhǔn)降?。每個邏輯分區(qū)都有一個和MBR分區(qū)結(jié)構(gòu)類似的擴展引導(dǎo)記錄（ExtendedBootRecord，EBR）。在EBR分區(qū)表中，第一項指向該邏輯分區(qū)本身的引導(dǎo)扇區(qū)；第二項指向下一個邏輯驅(qū)動器的EBR；第三項、第四項目前沒有用到。4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.1MBR分區(qū)結(jié)構(gòu)分析Windows系統(tǒng)在默認情況下一般只為系統(tǒng)劃分一個主分區(qū)，剩余的部分全部劃入擴展分區(qū)。這里需要注意以下幾點。

在MBR分區(qū)表中，最多存在4個主分區(qū)或3個主分區(qū)+1個擴展分區(qū)，也就是說，擴展分區(qū)只能存在一個，但是可以在此基礎(chǔ)上細分出多個邏輯分區(qū)。

在Linux系統(tǒng)中，磁盤分區(qū)命名為sda1～sda4或hda1～hda4（其中a表示磁盤編號，而磁盤編號可能是a、b、c等）。在MBR分區(qū)中，主分區(qū)（或擴展分區(qū)）號為1～4，邏輯分區(qū)號只能從5開始。

在MBR分區(qū)表中，一個分區(qū)的最大空間為2TB，且每個分區(qū)的起始柱面必須在這個磁盤的前2TB空間內(nèi)。例如，現(xiàn)有一個3TB的磁盤，根據(jù)要求應(yīng)至少將其劃分為兩個分區(qū)，且最后一個分區(qū)的起始扇區(qū)要位于磁盤的前2TB空間內(nèi)。如果磁盤太大則必須改用GPT。4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.1MBR分區(qū)結(jié)構(gòu)分析

與支持最大卷為2TB且每個磁盤最多有4個主分區(qū)（或3個主分區(qū)、1個擴展分區(qū)和不限制數(shù)量的邏輯驅(qū)動器）的MBR分區(qū)結(jié)構(gòu)相比，GPT（GUIDPartitionTable）分區(qū)結(jié)構(gòu)最大支持128個分區(qū)，每個分區(qū)最大空間為18EB（Exabyte），且分區(qū)的數(shù)量只受到操作系統(tǒng)限制［由于分區(qū)表本身需要占用一定空間，在最初規(guī)劃分區(qū)時，留給分區(qū)表的空間決定了最多可以存在多少個分區(qū)，如IA-64版Windows系統(tǒng)限制最多存在128個分區(qū)，這也是可擴展固件接口（ExtensibleFirmwareInterface，EFI）標(biāo)準(zhǔn)規(guī)定的分區(qū)表的最小尺寸］。

與MBR分區(qū)結(jié)構(gòu)不同，GPT分區(qū)結(jié)構(gòu)的至關(guān)重要的平臺操作數(shù)據(jù)位于分區(qū)，而不是位于非分區(qū)或隱含扇區(qū)。另外，GPT分區(qū)存在備份分區(qū)表，以用來提高分區(qū)數(shù)據(jù)結(jié)構(gòu)的完整性。在UEFI（UnifiedEFI）系統(tǒng)中，通常會通過在EFI系統(tǒng)分區(qū)中的EFI應(yīng)用程序文件引導(dǎo)GPT硬盤上的操作系統(tǒng)，而不會通過活動主分區(qū)上的引導(dǎo)程序引導(dǎo)GPT分區(qū)上的操作系統(tǒng)。4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析Linux系統(tǒng)的GPT分區(qū)結(jié)構(gòu)和Windows系統(tǒng)的GPT分區(qū)結(jié)構(gòu)完全一樣。GPT是作為EFI的一部分被引入的。

（1）EFI信息區(qū)（GPT頭）。GPT頭起始于磁盤的LBA1扇區(qū)，通常只占用這個單一扇區(qū)。其作用是定義分區(qū)表的位置和大小。GPT頭還包含GPT頭和分區(qū)表的校驗和。通過這個校驗和可以及時發(fā)現(xiàn)錯誤LBA英文全稱為LogicalBlockAddress，含義為邏輯區(qū)塊地址。1．EFI部分。EFI部分可以分為4個區(qū)域：

（2）分區(qū)表。分區(qū)表包含分區(qū)表項。這個區(qū)域由GPT頭定義，一般占用磁盤LBA2～LBA33扇區(qū)

（3）分區(qū)區(qū)域。GPT分區(qū)是這部分最大的區(qū)域，由分配給分區(qū)的扇區(qū)組成。

（4）備份區(qū)域。備份區(qū)域位于磁盤的尾部，包含GPT頭和分區(qū)表的備份。4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（1）進入“初始化磁盤”對話框，如圖4-1所示，選擇“磁盤2”選項，選擇GPT磁盤分區(qū)形式，雖然此時磁盤2依然顯示為基本磁盤，但它的引導(dǎo)區(qū)已不再是MBR形式的了，而是GPT形式的了。2．GPT分區(qū)創(chuàng)建方法。圖4-1“初始化磁盤”對話框4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（2）在Windows系統(tǒng)桌面“運行”文本框內(nèi)輸入“diskpart”命令，如圖4-2所示。2．GPT分區(qū)創(chuàng)建方法。圖4-2輸入“diskpart”命令4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（3）運行該命令后，首先選擇系統(tǒng)下我們創(chuàng)建的GPT分區(qū)的磁盤2以創(chuàng)建EFI系統(tǒng)分區(qū)，輸入命令“selectdisk2”后按回車鍵，選擇磁盤2，輸入創(chuàng)建EFI系統(tǒng)分區(qū)的命令“createpartitionefisize=n”，如圖4-3所示。其中，“n”為EFI系統(tǒng)分區(qū)的大小，單位是MB，此處將“n”設(shè)置為100，即在磁盤2上創(chuàng)建100

MB的EFI系統(tǒng)分區(qū)。2．GPT分區(qū)創(chuàng)建方法。圖4-3創(chuàng)建EFI系統(tǒng)分區(qū)4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

以同樣的方法創(chuàng)建其他分區(qū)，如圖4-4所示。2．GPT分區(qū)創(chuàng)建方法。圖4-4創(chuàng)建其他分區(qū)4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析GPT分區(qū)由6部分組成，如表4-1所示。3．GPT分區(qū)結(jié)構(gòu)的原理保護MBR區(qū)域GPT頭分區(qū)表分區(qū)區(qū)域分區(qū)表備份GPT頭備份

（1）保護MBR區(qū)域：在一個Linux系統(tǒng)的GPT分區(qū)中，將0號扇區(qū)（LBA0）作為保護MBR區(qū)域，如圖4-5所示。圖4-5保護MBR區(qū)域4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（2）GPT頭：GPT頭位于GPT分區(qū)的第二個扇區(qū)，也就是1號扇區(qū)（LBA1）。該扇區(qū)是在創(chuàng)建GPT分區(qū)時生成的，GPT頭會定義分區(qū)的起始位置、分區(qū)表的結(jié)束位置、每個分區(qū)表項的大小、分區(qū)表項的個數(shù)及分區(qū)表的校驗和等信息。GPT頭如圖4-6所示。圖4-6

GPT頭4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（3）分區(qū)表：分區(qū)表位于GPT分區(qū)的2～33號扇區(qū)（LBA2～LBA33），共占用32個扇區(qū)。每個分區(qū)表項用于記錄分區(qū)表的起始和結(jié)束位置、分區(qū)類型的GUID、分區(qū)名字、分區(qū)屬性和分區(qū)GUID。一個GPT分區(qū)的4個分區(qū)表項如圖4-7所示。圖4-7一個GPT分區(qū)的4個分區(qū)表項4.1Linux系統(tǒng)的分區(qū)結(jié)構(gòu)4.1.2GPT分區(qū)結(jié)構(gòu)分析

（4）分區(qū)區(qū)域：分區(qū)區(qū)域通常都是起始于GPT分區(qū)的34號扇區(qū)（LBA34），是整個GPT分區(qū)中最大的區(qū)域，由多個分區(qū)組成，如EFI系統(tǒng)分區(qū)、微軟保留分區(qū)、LDM元數(shù)據(jù)分區(qū)、LDM數(shù)據(jù)頭備份分區(qū)、OEM分區(qū)、主分區(qū)等。分區(qū)區(qū)域的起始地址和結(jié)束地址由GPT頭定義。

（5）分區(qū)表備份：分區(qū)區(qū)域結(jié)束后，緊跟著就是分區(qū)表備份，其地址在GPT頭備份扇區(qū)中有描述。分區(qū)表備份是對分區(qū)表32個扇區(qū)的完整備份。如果分區(qū)表被破壞，則系統(tǒng)就會自動讀取分區(qū)表備份，以保證正常識別分區(qū)。

（6）GPT頭備份：GPT頭有一個備份，在GPT分區(qū)的最后一個扇區(qū)中。這個GPT頭備份并不是簡單的GPT頭的復(fù)制品。GPT頭備份和GPT頭的結(jié)構(gòu)雖然一樣，但有些參數(shù)不一樣。4.2Ext4文件系統(tǒng)的特點

第四代擴展文件系統(tǒng)簡稱Ext4文件系統(tǒng)，是Linux系統(tǒng)下的日志文件系統(tǒng)，是Ext3文件系統(tǒng)的后繼版本。

然而，某些Linux系統(tǒng)開發(fā)者因追求穩(wěn)定性等原因拒絕將這些延伸包應(yīng)用在Ext3文件系統(tǒng)上，并要求將這些延伸包作為Ext3文件系統(tǒng)的分支，將其改名為Ext4文件系統(tǒng)并對其另行開發(fā)，以免影響當(dāng)前的Ext3文件系統(tǒng)的使用。該要求被接受以后，Ext3文件系統(tǒng)維護者曹子德在2006年6月28日公開了Ext4文件系統(tǒng)的開發(fā)項目。

Ext4文件系統(tǒng)的原始開發(fā)目標(biāo)是一系列地向下兼容Ext3文件系統(tǒng)與提升其性能的延伸包。

在Linux2.6.19版本中，首次加入了Ext4文件系統(tǒng)的一個早期開發(fā)版本。在2008年10月11日，Ext4文件系統(tǒng)加入Linux2.6.29版本的源代碼，從而使Ext4文件系統(tǒng)的開發(fā)階段進入尾聲。2008年12月25日，Linux2.6.29版本公開發(fā)布，Ext4文件系統(tǒng)成為Linux公司官方建議的默認文件系統(tǒng)。4.2Ext4文件系統(tǒng)的特點

2010年1月15日，Google公司宣布將該公司使用的文件系統(tǒng)由Ext2文件系統(tǒng)升級為Ext4文件系統(tǒng)。在同年12月14日，Google公司宣布，他們將在Android2.3版中使用Ext4文件系統(tǒng)來取代之前的YAFFS（YetAnotherFlashFileSystem）。

Ext4文件系統(tǒng)的特點如下。

1．大型文件系統(tǒng)：Ext4文件系統(tǒng)可支持最大1EB的分區(qū)與最大16TB的文件。2．Extent存儲方式：Ext4文件系統(tǒng)引進了Extent存儲方式，從而取代了Ext2文件系統(tǒng)與Ext3文件系統(tǒng)使用的blockmapping存儲方式。3．向下兼容：Ext4文件系統(tǒng)向下可兼容Ext3文件系統(tǒng)與Ext2文件系統(tǒng)，因此可以將Ext3文件系統(tǒng)和Ext2文件系統(tǒng)掛載為Ext4文件系統(tǒng)的分區(qū)。4.預(yù)留磁盤空間：Ext4文件系統(tǒng)可以為一個文件預(yù)留磁盤空間。5.延遲獲取磁盤空間：Ext4文件系統(tǒng)通過allocate-on-flush方式，使數(shù)據(jù)在被寫入磁盤前才開始獲取磁盤空間，而大多數(shù)文件系統(tǒng)會在此更早時開始獲取磁盤空間。4.2Ext4文件系統(tǒng)的特點6．突破32

000子目錄的限制：在Ext3文件系統(tǒng)的一個目錄下最多只能存在32

000個子目錄，而Ext4文件系統(tǒng)的子目錄可達64

000個，且使用“dir_nlink”功能后可以達到更高的數(shù)量。7．日志校驗和：Ext4文件系統(tǒng)通過使用日志校驗和不僅可以提高文件系統(tǒng)可靠性，而且可以安全地避免系統(tǒng)處理日志時磁盤的I/O等待，并可提高一些系統(tǒng)性能。8.磁盤整理：即使Ext4文件系統(tǒng)包含了許多避免磁盤碎片的技術(shù)，但是磁盤碎片還是會在使用過的文件系統(tǒng)中長時間存在。目前，絕大多數(shù)主流操作系統(tǒng)的內(nèi)核中都不具有磁盤整理工具，而Ext4文件系統(tǒng)則有一個磁盤整理工具。9.快速文件系統(tǒng)檢查：Ext4文件系統(tǒng)將未使用的區(qū)塊標(biāo)記在inode當(dāng)中，這樣可以使諸如e2fsck的工具在磁盤檢查時完全跳過這些區(qū)塊，從而節(jié)省大量文件系統(tǒng)檢查的時間。4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)

從Ext文件系統(tǒng)中提取數(shù)據(jù)的流程如圖4-8所示。圖4-8從Ext文件系統(tǒng)中提取數(shù)據(jù)的流程4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)Ext文件系統(tǒng)的MBR格式如圖4-9中的陰影部分所示。圖4-9Ext文件系統(tǒng)的MBR格式4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)

（1）在起始扇區(qū)處跳轉(zhuǎn)2048個扇區(qū)，到達超級塊起始扇區(qū)，在此基礎(chǔ)上再跳轉(zhuǎn)2個扇區(qū)就可以找到0號超級塊。也可打開“查找十六進制數(shù)值”對話框，按照如圖4-10所示的參數(shù)進行設(shè)置，以搜索到0號超級塊。圖4-10搜索0號超級塊4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)0號超級塊如圖4-11所示。從圖4-11中也可以看出0號超級塊的總塊數(shù)，并可以計算出每塊大小塊。圖4-110號超級塊4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)

（2）跳轉(zhuǎn)到1號目錄i節(jié)點有兩種方式，第一種方式是從超級塊起始扇區(qū)跳轉(zhuǎn)8個扇區(qū)到1號目錄i節(jié)點；第二種方式是從0號超級塊跳轉(zhuǎn)6個扇區(qū)到1號目錄i節(jié)點。1號目錄i節(jié)點如圖4-12所示。其中，1號目錄i節(jié)點的第一行08H處的數(shù)值×每塊大小=2號目錄i節(jié)點的扇區(qū)數(shù)，即1057×8=8456。圖4-121號目錄i節(jié)點4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)

（3）從超級塊起始扇區(qū)開始跳轉(zhuǎn)8456個扇區(qū)就到了2號目錄i節(jié)點扇區(qū)，主要存放目錄區(qū)，如圖4-13所示。圖4-13中的1和2處的格式是一樣的，主要看中間的最后字節(jié)?？梢酝ㄟ^數(shù)據(jù)解釋器發(fā)現(xiàn)其數(shù)值為9249。所用目錄區(qū)的扇區(qū)數(shù)=9249×每塊大小，即9249×8=73

992。圖4-13

2號目錄i節(jié)點扇區(qū)4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)

（4）從超級起始扇區(qū)跳轉(zhuǎn)73

992個扇區(qū)，從文件夾1向上搜索lost+found后的第3個字節(jié)即為代表i節(jié)點的號，（此處的大小-1）×256=n，其中n為字節(jié)數(shù)。

（5）跳轉(zhuǎn)到2號目錄i節(jié)點，從首字節(jié)開始，跳轉(zhuǎn)n個字節(jié)，找到文件的描述位置，根據(jù)文件結(jié)尾字節(jié)數(shù)×8得到根目錄扇區(qū)數(shù)。從超級塊起始扇區(qū)出發(fā)，跳轉(zhuǎn)根目錄扇區(qū)數(shù)，找到根目錄區(qū)和文件名，從文件名往上到上一個文件名尾，看一下此處的大小。由式（此處的大小-1）×256=n得到字節(jié)數(shù)后，我們跳轉(zhuǎn)到2號目錄i節(jié)點。從首字節(jié)開始，跳轉(zhuǎn)字節(jié)數(shù)個字節(jié)，看結(jié)尾的數(shù)值，此處的大小×8=文件占用的總扇區(qū)數(shù)。至此，我們可以知道這個文件占用的總扇區(qū)數(shù)。

（6）找到數(shù)據(jù)，從超級塊起始扇區(qū)跳轉(zhuǎn)到文件所在的扇區(qū)，按“ALT+1”組合鍵選中首個字節(jié)，跳轉(zhuǎn)這個文件占用的總扇區(qū)數(shù)，按“ALT+2”組合鍵選中最后的字節(jié)，將其復(fù)制至新文件，即可獲得所需要的數(shù)據(jù)。4.3從Ext文件系統(tǒng)中提取數(shù)據(jù)Linux系統(tǒng)下的MBR分區(qū)結(jié)構(gòu)和Window系統(tǒng)下的MBR分區(qū)結(jié)構(gòu)完全一樣，所以也有可能被破壞。例如，一臺裝有Linux系統(tǒng)的計算機，用WinHex打開其硬盤，發(fā)現(xiàn)MBR分區(qū)的分區(qū)表丟失，如圖4-14所示。圖4-14

MBR分區(qū)的分區(qū)表丟失Linux系統(tǒng)一般采用Ext文件系統(tǒng)，而Ext文件以超級塊作為開頭，所以我們第一步要搜索超級塊，讀取超級塊與塊組的描述。謝謝觀看！第5章

Mac系統(tǒng)的數(shù)據(jù)恢復(fù)技術(shù)主編：王平均Mac系統(tǒng)和Windows系統(tǒng)有著不同的操作體驗。Mac系統(tǒng)擁有比Windows系統(tǒng)更出色的一站式體驗。這兩個系統(tǒng)在設(shè)定及使用方法上存在著不同的地方。

蘋果計算機的靈魂不是硬件，而是其操作系統(tǒng)。蘋果計算機的操作系統(tǒng)經(jīng)歷了System1.0到System6.0版本，再到System7.5.3版本的巨大變化，也從單調(diào)的黑白界面變成8色、16色、真彩色界面，并在系統(tǒng)穩(wěn)定性、應(yīng)用程序數(shù)量、界面效果等各方面向人們展示著自己日益成熟和長大的“身影”。Mac系統(tǒng)是蘋果計算機專用系統(tǒng)，是基于Unix內(nèi)核的圖形化操作系統(tǒng)。在一般情況下，普通個人計算機無法安裝該操作系統(tǒng)。蘋果計算機目前的操作系統(tǒng)已經(jīng)到了MacOSX（X為10的羅馬數(shù)字寫法）版本。該系統(tǒng)非常可靠。它的許多特點和服務(wù)都體現(xiàn)了蘋果公司的經(jīng)營理念。

另外，現(xiàn)在的計算機病毒幾乎都是針對Windows系統(tǒng)的，由于Mac系統(tǒng)的架構(gòu)與Windows系統(tǒng)的架構(gòu)不同，所以很少受到計算機病毒的襲擊。Mac系統(tǒng)的界面非常獨特，突出了形象的圖標(biāo)和人機對話的功能。蘋果公司不僅自己開發(fā)系統(tǒng)，也涉及硬件的開發(fā)。5.1Mac系統(tǒng)的分區(qū)結(jié)構(gòu)

Mac系統(tǒng)支持以下3種分區(qū)結(jié)構(gòu)。1．GPT分區(qū)結(jié)構(gòu)GPT是蘋果計算機基于英特爾處理器使用的新的分區(qū)表，是EFI標(biāo)準(zhǔn)的一個部分。使用英特爾處理器的蘋果計算機可以使用GPT和APM（ApplePartitionMap）分區(qū)結(jié)構(gòu)的硬盤來啟動。GUID是蘋果公司建議使用的分區(qū)表格式。對于使用時間機器備份的硬盤，只能使用GUID分區(qū)表格式。2．APM分區(qū)結(jié)構(gòu)

對于使用PowerPC處理器的蘋果計算機，其硬盤只能使用APM分區(qū)結(jié)構(gòu)才能作為系統(tǒng)啟動盤。如果在分區(qū)中安裝UniversalBinary碼的MacOSX，則使用英特爾處理器的蘋果計算機也可以使用APM分區(qū)結(jié)構(gòu)的硬盤啟動。5.1Mac系統(tǒng)的分區(qū)結(jié)構(gòu)

Mac系統(tǒng)支持以下3種分區(qū)結(jié)構(gòu)。3．MBR分區(qū)結(jié)構(gòu)MBR分區(qū)結(jié)構(gòu)存在著諸多限制，如最多支持4個主分區(qū)等。但由于個人計算機的廣泛使用，以及微軟操作系統(tǒng)的持續(xù)使用，所以這種分區(qū)結(jié)構(gòu)依然存在。如果在蘋果計算機上給硬盤使用這種分區(qū)結(jié)構(gòu)，一般會應(yīng)用在外接硬盤或Ｕ盤上，這樣可以使個人計算機在轉(zhuǎn)移數(shù)據(jù)時更方便。MacOSX不能從這種分區(qū)結(jié)構(gòu)的硬盤上啟動系統(tǒng)。5.2HFS+的特點HFS+又稱MacOSExtended，是目前蘋果計算機默認的最常見的文件系統(tǒng)。HFS+來源于UNIX系統(tǒng)，但是又不應(yīng)用于UNIX系統(tǒng)。它增加了許多新的特性，同時也有許多不同于Windows、UNIX等系統(tǒng)的概念。HFS+是蘋果公司為替代分層文件系統(tǒng)（HierarchicalFileSystem，HFS）而開發(fā)的一種文件系統(tǒng)，被用在Macintosh計算機（或者其他運行MacOS的計算機）上，也是iPod上使用的一種文件系統(tǒng)。

在開發(fā)過程中，蘋果公司也把HFS+命名為“Sequoia”。HFS+是HFS的改進版本，能支持更大的文件，并用Unicode來命名文件或文件夾，代替了MacOSRoman或一些其他的字符集。HFS+和HFS一樣也使用B樹來存儲大部分分卷的元數(shù)據(jù)。5.2HFS+的特點HFS+把硬盤內(nèi)的空間分為一個個邏輯塊。每個邏輯塊大小為512個字節(jié)，稱為1個扇區(qū)。所有扇區(qū)均從0開始編號，直到磁盤的總扇區(qū)數(shù)減1為止。

在一個文件卷內(nèi)，文件的分配單元不是扇區(qū)，而是HFS+把所有扇區(qū)分成的等大的組。通常將這個組稱為分配塊。每個分配塊大小為2n個扇區(qū)，且占用一組連續(xù)的扇區(qū)。

分配塊大小為2的正整數(shù)次冪，且大于或等于512個字節(jié)。此值在卷初始化時被設(shè)定，并且在卷存在的過程中不能被修改，除非重新對卷進行初始化。HFS+用32個位記錄分配塊的數(shù)量，因此最多可以管理232個分配塊。

所有的文件結(jié)構(gòu)，包括卷頭，都包含在一個或幾個分配塊中（也有例外的情況，如備份卷頭），而HFS的特殊結(jié)構(gòu)（包括啟動塊、主目錄塊和位圖）不屬于任何分配塊塊。5.2HFS+的特點

為了減少文件碎片的產(chǎn)生，HFS+在為文件分配存儲空間時，會盡可能地為其分配一組連續(xù)的分配塊或塊組。塊組大小通常為分配塊大小的整數(shù)倍。塊組大小在卷頭中進行說明。

對于非連續(xù)存儲的文件，MacOS系統(tǒng)采用“下一可用分配”策略為其分配存儲空間，即當(dāng)MacOS系統(tǒng)接收到文件空間分配請求時，如果找到的空閑空間無法滿足請求的空間大小，則繼續(xù)從下一個找到的空閑塊開始繼續(xù)分配，如果該次找到的連續(xù)空閑空間足夠大，則MacOS系統(tǒng)根據(jù)請求空間的大小分配塊組大小的整倍數(shù)空間給該文件。5.3HFS+的結(jié)構(gòu)HFS+整體結(jié)構(gòu)如圖5-1所示。其中，灰色底框為用戶數(shù)據(jù)區(qū)。下面對卷頭結(jié)構(gòu)進行分析。圖5-1

HFS+整體結(jié)構(gòu)5.3HFS+的結(jié)構(gòu)HFS+的卷頭位于宗卷的2號扇區(qū)，占用1個扇區(qū)，其重要性質(zhì)類似FAT文件和NTFS的DBR，如圖5-2所示。圖5-2HFS+的卷頭5.3HFS+的結(jié)構(gòu)

卷頭中主要參數(shù)如圖5-3所示，其中包含了HFS+的主要標(biāo)志示。圖5-3卷頭中主要的參數(shù)5.3HFS+的結(jié)構(gòu)

卷頭中主要參數(shù)如圖5-3所示，其中包含了HFS+的主要標(biāo)志示。

（1）簽名：H+，也就是卷頭的標(biāo)志（H+代表HFS+格式；HX代表HFSX格式）。

（2）版本：也是對宗卷格式的描述。通常來說，版本“4”表示HFS+格式；版本“5”表示HFSX格式。

（3）屬性：描述該宗卷所具備的屬性。

（4）最后加載版本：用來識別最后對該宗卷做寫操作的系統(tǒng)版本。對于MacOS8.1到MacOS9.2系統(tǒng)版本，該參數(shù)值為“8.10”；對于MACOSX系統(tǒng)版本，該參數(shù)值為“10.0”。

（5）日志信息塊：描述日志信息塊的地址。

（6）創(chuàng)建時間：記錄了該宗卷創(chuàng)建的日期和時間，此處記錄的是創(chuàng)建時的本地時間。5.3HFS+的結(jié)構(gòu)

卷頭中主要參數(shù)如圖5-3所示，其中包含了HFS+的主要標(biāo)志示。

（7）修改時間：記錄了該宗卷最后一次修改的日期和時間，此處記錄的是修改時的本地時間。

（8）備份時間：記錄了該宗卷最后一次備份的日期和時間，此處記錄的是備份時的本地時間。

（9）檢查時間：記錄了該宗卷最后一次做一致性檢測的日期和時間，此處記錄的是檢查時的本地時間。磁盤檢測工具（包括DiskFirstAid）必須在完成磁盤檢測后才能被安裝使用。磁盤檢測工具有可能周期性地對宗卷進行檢測。

（10）文件數(shù)目：記錄了該宗卷上文件的總數(shù)，但不包括元文件。該數(shù)目和編錄文件里記錄的文件數(shù)是一致的。

（11）目錄數(shù)目：記錄了該宗卷上文件夾的總數(shù)，但不包括根目錄。該數(shù)目等于編錄文件記錄的文件夾總數(shù)減1。5.3HFS+的結(jié)構(gòu)

卷頭中主要參數(shù)如圖5-3所示，其中包含了HFS+的主要標(biāo)志示。

（12）每塊字節(jié)數(shù)：塊大小，即每個塊包含的字節(jié)數(shù)。

（13）總塊數(shù)：記錄宗卷中塊的總數(shù)，如果一個宗卷的總大小是分配塊大小的整數(shù)倍，那么該磁盤上包括卷頭和備份卷頭在內(nèi)的所有區(qū)域都包括在一個塊中。

（14）空閑塊數(shù)：記錄了該宗卷上沒有被使用的塊的總數(shù)。

（15）下一個分配塊號：記錄了宗卷上下次分配搜索的起始位置。當(dāng)需要為一文件分配塊時，該值被MacOS系統(tǒng)用來記錄和尋找未使用塊的起始位置。

（16）資源分支的塊組大小：在為文件增加存儲空間時，需要以資源分支的塊組大小給文件分配空間。不過大部分蘋果操作系統(tǒng)都會忽略資源分支的塊組大小，只以數(shù)據(jù)分支的塊組大小作為給數(shù)據(jù)分支和資源分支分配空間的依據(jù)。5.3HFS+的結(jié)構(gòu)