ext2 文件恢复

Ext2 是 Linux 中早期广泛使用的文件系统，虽然后被 Ext3/4 取代，但在嵌入式、固件、老旧系统及 CTF 取证题中仍经常出现

由于 Ext2 不涉及日志，一旦文件被删除，其数据并不会立即消失，因此恢复成功率较高

文件恢复主要基于 inode 信息和间接块指针的重建

核心结构

结构 大小 关键字段
超级块 (Superblock) 1024 字节 块大小、inode 总数、块总数、第一个 inode 号（固定为1）、卷名、最后挂载时间、魔数 0xEF53 等
组描述符表 (GDT) 32 字节/组 块位图位置、inode 位图位置、inode 表起始块、空闲块计数、空闲 inode 计数、目录数
inode 128 字节（标准） 文件模式、大小、UID/GID、时间戳（atime,ctime,mtime,dtime）、直接块指针（12个）、间接块指针（一级、二级、三级各一个）
目录项 变长 inode 号、条目长度、名字长度、文件类型、文件名（以 \0 结束，4 字节对齐）

删除机制

在 Ext2 中，删除文件时：

  • 将目录项中的 inode 号设置为 0（或标记为未使用）

  • 在 inode 位图中将对应位清零

  • 更新 inode 中的 dtime（删除时间），并将 i_blocks 和文件大小清零（部分操作）

  • 块位图中释放数据块（将对应位清零）

  • 但数据块内容仍保留在磁盘上，直到被新数据覆盖

因此恢复的关键是 重建 inode 到数据块的映射

实战案例

磁盘恢复（ext2 文件恢复）

非预期解法如下

1
2
3
strings -a 86b265d37d1fc10b721a2accae04a60d | grep -i FLAG

FLAG-ggmgk05096

预期解法如下

使用 Sleuth Kit 工具中 fsstat 命令对文件解析

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
FILE SYSTEM INFORMATION  # 文件系统信息部分
--------------------------------------------  # 分隔线
File System Type: Ext2  # 文件系统类型：Ext2
Volume Name:  # 卷标为空
Volume ID: ba2c0a9181cbbbfe3443dbd20fdc091  # 卷 UUID，唯一标识该文件系统
  # 
Last Written at: 2014-02-05 10:15:19 (Last Checked at: 2014-02-04 09:41:10 (  # 最后写入时间（括号内为最后一次 fsck 检查时间，早于写入时间）
Last Mounted at: 2014-02-05 10:15:19 (Unmounted Improperly  # 最后挂载时间，状态为非正常卸载（Unmounted Improperly）
  # 
Source OS: Linux  # 文件系统来源操作系统：Linux
Dynamic Structure  # 支持动态结构（如在线扩容）
Compat Features: Ext Attributes, Resize Inode, Dir Index  # 兼容特性：扩展属性、预留调整 inode、目录索引
InCompat Features: Filetype,  # 不兼容特性：目录项包含文件类型字段
Read Only Compat Features: Sparse Super,  # 只读兼容特性：稀疏超级块（仅部分块组有超级块备份）
  # 
METADATA INFORMATION  # 元数据信息部分
--------------------------------------------  # 分隔线
Inode Range: 1 - 137  # inode 范围：1 到 137，共 137 个 inode
Root Directory: 2  # 根目录 inode 号为 2（Ext 文件系统固定约定）
Free Inodes: 119  # 空闲 inode 数量：119 个（已用 18 个）
  # 
CONTENT INFORMATION  # 数据内容信息部分
--------------------------------------------  # 分隔线
Block Range: 0 - 1071  # 块编号范围：0 到 1071，共 1072 个块
Block Size: 1024  # 块大小：1024 字节（1 KB）
Reserved Blocks Before Block Groups: 1  # 第一个块组之前的保留块数：1（通常为引导块或保留空间）
Free Blocks: 858  # 空闲数据块数量：858 个
  # 
BLOCK GROUP INFORMATION  # 块组信息部分
--------------------------------------------  # 分隔线
Number of Block Groups: 1  # 块组总数：1 个
Inodes per group: 136  # 每个块组分配的 inode 数：136 个
Blocks per group: 8192  # 每个块组最大块数：8192（创建时设定，实际未用满）
  # 
Group: 0:  # 块组 0 信息
  Inode Range: 1 - 136  # 组内 inode 范围：1 到 136
  Block Range: 1 - 1071  # 组内块范围：1 到 1071（块 0 为保留区域）
  Layout:  # 块组布局详情
    Super Block: 1 - 1  # 超级块占用块 1
    Group Descriptor Table: 2 - 2  # 组描述符表占用块 2
    Data bitmap: 7 - 7  # 数据块位图占用块 7
    Inode bitmap: 8 - 8  # inode 位图占用块 8
    Inode Table: 9 - 25  # inode 表占用块 9 至 25（共 17 个块）
    Data Blocks: 26 - 0  # 数据块区域从块 26 开始，'0' 为显示异常或表示到结尾
  Free Inodes: 119 (0%)  # 组内空闲 inode：119（显示 0%，实际空闲率约 87.5%）
  Free Blocks: 858 (0%)  # 组内空闲块：858（显示 0%，实际空闲率约 80%）
  Total Directories: 4  # 目录总数：4 个（含根目录）

接下来我们查找被删除的文件

1
2
3
4
5
fls.exe -f ext2 -r -d 86b265d37d1fc10b721a2accae04a60d

# -f ext2   指定文件系统类型
# -r        递归遍历目录
# -d        只显示删除文件

$OrphanFiles 是 Sleuth Kit 构造出来的虚拟目录，表示这些 inode 已经没有正常目录项引用了，但 inode 和数据块还残留在文件系统中

目录里还能看到 secret.txt 这个删除文件名痕迹，但它的 inode 号已经不可用，TSK 显示成 0

1
r/- * 0:        secret.txt

转换方向去恢复虚拟目录拿到 flag

1
FLAG-ggmgk05096