Linux下Ext3文件系統結構研究

蘇神保 劉丹

摘 要：在Linux操作系統中，磁盤的分區結構與Windows系統一樣，都采用 MBR或者GPT磁盤分區，但在文件系統的結構上卻有很大的差別，Windows系統常見的文件系統有FAT32、NTFS、exFAT等，而Linux系統的則為Ext2/3/4。本文以Linux操作系統中常見文件系統Ext3為例，詳細介紹該文件系統的結構并舉例說明其手工提取文件的方法。

關鍵詞：Winhex;Ext3;Block;i-節點

1 Ext3文件系統基本介紹

Ext3文件系統所在區域先是被劃分為一個個的塊（Block），每個塊的大小都是一樣的，但是對于不同的Ext3文件系統，塊的大小也可能存在差別。典型的塊大小有1 024字節、2 048字節或者4 096字節，在Winhex中分別為2扇區、4扇區或者8扇區。該數值將在創建文件系統時被決定，可以由文件系統的創建程序根據硬盤分區的大小來自動選擇一個較為合理的值。

塊是文件系統中數據的分配單元，每個塊均有唯一的編號，第一個塊的編號為0，此后依序排列，0號塊起始于文件系統的開始扇區。

Ext3文件系統的全部空間被劃分為若干個塊組，每個塊組內的結構都大致相同，Ext3文件系統的整體結構及第一個塊組的單元結構如圖1所示。

由圖1可以看出，Ext3文件系統的第一個塊組的結構功能分析可闡釋如下。

（1）Ext3文件系統的前兩個扇區用來存放引導程序，稱為引導扇區。如果沒有引導程序則保留不用，一般為空扇區，沒有任何數據。

（2）Ext3文件系統的第3個扇區、也就是2號扇區是超級塊，超級塊占用2個扇區，用于存儲文件系統的配置參數（如塊大小、總塊數和i-節點數）和動態信息（如當前空閑塊數和i-節點數）。

（3）塊組描述符表用于存儲塊組描述符，占用一個或者多個塊，設計時取決于文件系統的大小。每個塊組描述符主要描述塊位圖、i-節點位圖和i-節點表的地址等信息。

為了系統的健壯性，Linux最初在每個塊組內部對超級塊和塊組描述符表做了備份，但是當文件系統很大時，這將耗費很多空間，尤其是塊組描述符表占用的塊較多時。為此后來采用了一種稀疏的方式來存儲這些備份，也就是只有在塊組號是3、5、7的冪的塊組（如0、1、3、5、7、9、25、27、49等）內才對超級塊和塊組描述符進行備份。

（4）i-節點用于描述文件的元數據，每個i-節點對應文件系統中唯一的節點號。

2 Ext3文件系統的超級塊分析

一般地，當塊大小為8個扇區時，超級塊起始于0號塊，其位于0號塊的2～3號扇區，0～1號扇區是引導程序或者保留扇區，4～7號扇區則是空閑的。另外，在塊組號是3、5、7的冪的塊組中，超級塊也有相應的備份，通過在Winhex中向下搜索超級塊標志53EF可以跳轉至有超級塊備份的相應塊組中去。Ext3文件系統的超級塊是一個至關重要的扇區，其中記錄的參數非常多。這里給出了某一Ext3文件系統的0號塊組的超級塊如圖2所示。而該超級塊中主要參數及含義詳見表1。

在上述Ext3文件系統中，超級塊的參數描述了文件系統的總塊數是13 107 200，每塊組包含的塊數是32 768，塊大小、即每塊包含的扇區數為22×1 024=4 096B=8S，而每塊組包含的扇區數為32 768×8=262 144 S，總塊組數為13 107 200/32 768=400，分別編號為0～399。

3 Ext3文件系統的塊組描述符分析

Ext3文件系統的每個塊組描述符占用32字節，有超級塊備份的塊組都包含有塊組描述符備份，這是用來描述該塊組中的塊位圖的起始塊號、i-節點位圖的起始塊號以及i-節點表的起始塊號等信息，一個Ext3文件系統有多少個塊組，都需要在塊組描述符中體現出來。而本文中研發得到的某一Ext3文件系統0號塊組的塊組描述符實例則如圖3所示。此處以0號塊組描述符為例，其hex數值代表的含義詳見表2。

由表2可知，在該塊組中，塊位圖開始于1 025號塊，i-節點表位圖開始于1 026號塊，i-節點表開始于1 027號塊，塊組中已用塊數32 768-31 228=1 540，已用i-節點數為8 176-8 124=52個。塊位圖描述該塊組中塊的使用情況，i-節點位圖描述該塊組中i-節點的使用情況。因篇幅有限，文中不再一一贅述。

4 Ext3文件系統的i-節點分析

Ext3文件系統的i-節點用來存儲與文件相關的除文件名以外的所有信息，每個塊組中都有一個自己的i-節點表，i-節點表由很多的i-節點組成，每個文件或者目錄使用一個i-節點。i-節點表起始于i-節點位圖所在塊的下一個塊，超級塊中記錄著文件系統的i-節點總數和每塊組包含的i-節點數，i-節點的大小在超級塊中指定，一般為128字節或者256字節。每個i-節點都有一個編號，第1個i-節點的編號為1，1～10號i-節點被系統保留，所以在超級塊中會描述第一個非保留的i-節點，這個值一般為11，前10個保留的i-節點在i-節點位圖中被表示為已分配，其中1號i-節點一般用于描述壞塊，2號i-節點被分配給根目錄使用，8號i-節點通常用于描述日志，如果已知一個i-節點號，就可以計算出該i-節點所在的塊組，計算方法為：（i-節點號-1）DIV每塊組i-節點數

在此基礎上，還將計算得出在該塊組中的i-節點號，計算公式為：（i-節點號-1）MOD每塊組i-節點數+1

至此，可得一文件的i-節點表如圖4所示。

由圖4中的偏移地址0X28可知，在i-節點中用塊指針描述文件內容的存放地址。每個i-節點中有15個塊指針，包含12個直接塊指針，1個間接塊指針，1個二級間接塊指針和1個三級間接塊指針。12個直接塊指針指向文件內容的前12個數據塊地址，如果文件大于12個塊，則第13個塊指針是一個間接塊指針，由其指向的塊存放的是直接塊指針而不是文件內容，以此類推。當文件較小時一般只需用到直接塊指針，當文件較大時才會用到間接塊指針。由上述實例可知，該文件從0X28至0X57已經使用了12個直接指針塊，0X58為間接塊指針。如需手工提取文件，需要從i-節點0X04位置讀取文件大小后換算提取。

5 Ext3文件系統目錄項分析

目錄項用來存放文件及目錄的i-節點號、目錄項的長度、文件名等信息，并實際存儲在分配給目錄的塊中。研究得到的一Ext3文件系統的根目錄如圖5所示。

在圖5中標注出了文件1.docx的目錄項，由表3可知，該文件的i-節點號為0C000000即為12，目錄項的長度為1 000、即為16，文件名的長度占用6個字節，文件類型為文件，文件名為1.docx。同理可知，2.docx的i-節點號為0D000000、即為13，目錄項的長度也是1 000、即為16，文件名的長度占用6個字節，文件類型為文件，文件名為2.docx。

6 Ext3文件系統的手工提取文件實例分析

某Ext3文件系統因計算機突然斷電導致無法讀取文件，現需恢復該文件系統的18.docx號文件，這一過程中將會涉及的操作步驟可做完整表述如下。

由2號扇區超級塊信息可知，塊大小為4 096字節、即8個扇區，i-節點大小為256字節，每塊組包含的塊數為32 768。跳轉至8號扇區、即塊組描述符，找到0號塊組描述符的i-節點表的起始塊號，跳轉過去就可到達0號塊組的i-節點表位置。因1號i-節點一般用于描述壞塊，2號i-節點用于描述根目錄的起始塊號，讀取2號i-節點的直接塊指針為1538號塊、即12304號扇區就可跳轉至根目錄，依據根目錄結構可知18.docx文件的i-節點號為1D000000、即為29，因每塊組包含的i-節點數為8 176，故29號i-節點位于0號塊組，由塊組描述符再次跳轉至0號塊組的i-節點表，從上至下數至29號i-節點、即為18.docx文件的i-節點。具體如圖6所示。

由i-節點定義可知，該文件的i-節點包含有3個直接塊指針（在圖6中用方框標出），分別為6 587 479、6 587 480、6 587 481號塊，文件大小為12 077字節，跳轉至6 587 479號塊，手工提取文件即可。

7 結束語

全文借助Winhex底層十六進制數據編輯恢復軟件，以Linux下Ext3文件系統為例，詳細分析了該文件系統的數據存儲結構原理，探討了超級塊、塊組描述符、i-節點表、目錄項等要素的含義，可以為專業數據恢復技術人員提供參考。

參考文獻

[1] 劉偉. 數據恢復技術深度揭秘[M]. 北京：電子工業出版社，2010.

[2] 徐國天. 基于EXT3文件系統的數據庫文件恢復與檢驗軟件的開發[J]. 信息網絡安全，2011（10）：44-46，70.

[3] 李巍. Ext-擴展文件系統的研究[J]. 信息系統工程，2010（8）：134-135.

[4] 涂健，孫輝. Linux2.6內核下Ext3文件系統的數據結構及性能分析[J]. 南昌水專學報，2004，23（2）：8-10，33.

[5] 黃步根. 數據恢復與計算機取證[J]. 計算機安全，2006（6）：79-80.

[6] 夏煜，郎榮玲，戴冠中. Linux操作系統的文件系統建立過程的研究[J]. 計算機工程與應用，2001（15）：90-92.