ext3 文件恢复

Ext3 是 Ext2 的日志增强版，通过添加日志机制提高了文件系统的可靠性和恢复能力。相较于 Ext2，Ext3 的日志在恢复过程中既是挑战也是机遇

一方面，日志记录了元数据变更，可用于回滚或重放操作；另一方面，删除文件后日志可能已经覆盖了某些元数据，增加了恢复难度

与 Ext2 的关键差异

特性 Ext2 Ext3
日志 无 有，三种模式：journal、ordered、writeback
元数据结构 基本相同（超级块、GDT、inode） 增加了日志超级块和日志描述符
删除文件时的行为 直接修改元数据和位图 操作先记入日志，再提交到主文件系统
恢复难度 取决于元数据残留 日志可能记录删除操作，也可能被覆写

日志模式（影响恢复的途径）：

  • journal 模式：所有数据和元数据写入前都先记入日志。恢复时日志中有完整的旧数据副本

  • ordered 模式（默认）：元数据变更记入日志，数据先于元数据写入，确保数据一致性

  • writeback 模式：仅元数据记入日志，数据与元数据的写入顺序不做保证，可能造成文件空洞

日志结构

Ext3 日志存储在一个特殊 inode（通常是 inode 8）指向的文件中，或者也可以存储在外部的日志设备上。日志由多个固定大小的块组成，包含：

  • 日志超级块 (Journal Superblock)：记录日志的参数，如块大小、最大长度、起始序号等

  • 描述符块 (Descriptor Block)：描述即将进行的事务（操作类型、块号等）

  • 数据块 (Data Block)：实际被修改的块在日志中的副本

  • 提交块 (Commit Block)：标记一个事务的结束

恢复时，可以通过分析日志事务找到被删除文件的历史元数据（如 inode 表、目录项）的副本，从而重建文件

实战案例

文件恢复（ext3 文件恢复）

pasted_1784197879256_ti7l4p.png

用 Sleuth Kit 识别文件类型

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
FILE SYSTEM INFORMATION
--------------------------------------------
File System Type: Ext3                      # 文件系统类型为 Ext3（第三代扩展文件系统）
Volume Name:                                # 卷名（此处为空）
Volume ID: 809a1caaa174a48d5a4aeac6914601ca # 卷的唯一标识符（UUID）

Last Written at: 2016-08-20 10:23:55        # 最后写入时间
Last Checked at: 2014-02-07 09:28:31        # 最后一次文件系统检查（fsck）的时间
Last Mounted at: 2016-08-20 10:22:56        # 最后挂载时间
Last mounted on: /mnt/test                  # 最后挂载的目录

Source OS: Linux                            # 创建此文件系统的操作系统为 Linux
Dynamic Structure                           # 使用动态结构（如 flex_bg 等）
Compat Features: Journal, Ext Attributes, Resize Inode, Dir Index  
# 兼容特性：支持日志、扩展属性、可变 inode 大小、目录索引
InCompat Features: Filetype,                # 不兼容特性：文件类型（必须支持才能挂载）
Read Only Compat Features: Sparse Super,    # 只读兼容特性：稀疏超级块（若不支持则只能只读挂载）

Journal ID: 00                              # 日志 ID
Journal Inode: 8                            # 日志文件所在的 inode 号

METADATA INFORMATION
--------------------------------------------
Inode Range: 1 - 1281                       # inode 编号范围
Root Directory: 2                           # 根目录的 inode 号（通常为 2）
Free Inodes: 1265                           # 剩余可用 inode 数量

CONTENT INFORMATION
--------------------------------------------
Block Range: 0 - 5119                       # 数据块编号范围（从 0 开始）
Block Size: 1024                            # 每个块的大小（字节）
Reserved Blocks Before Block Groups: 1      # 块组前保留的块数（用于引导块等）
Free Blocks: 3879                           # 剩余可用块数量

BLOCK GROUP INFORMATION
--------------------------------------------
Number of Block Groups: 1                   # 块组总数
Inodes per group: 1280                      # 每个块组所含 inode 数
Blocks per group: 8192                      # 每个块组所含块数（超级块记录的值）

Group: 0:                                   # 块组 0 的详细信息
  Inode Range: 1 - 1280                     # 该组管理的 inode 范围
  Block Range: 1 - 5119                     # 该组管理的块范围（逻辑块号）
  Layout:                                   # 组内布局
    Super Block: 1 - 1                      # 超级块占用的块号（备份在块组内）
    Group Descriptor Table: 2 - 2           # 组描述符表占用的块号
    Data bitmap: 22 - 22                    # 数据块位图块号
    Inode bitmap: 23 - 23                   # inode 位图块号
    Inode Table: 24 - 183                   # inode 表占用的块范围（共 160 块，1280*128/1024 = 160）
    Data Blocks: 184 - 0                    # 数据块起始（184）到结束（0 表示环回或全范围，实际最后一块可能为 5119）
  Free Inodes: 1265 (0%)                    # 该组剩余 inode 数（占比）
  Free Blocks: 3879 (0%)                    # 该组剩余块数（占比）
  Total Directories: 4                      # 该组内目录总数

使用 fls 查看递归查看被删除的文件

pasted_1784199930688_yhdhfk.png

Flag.txt 对应的 inode 为 16，还没有被删除

但是使用 icat 查看缺为空

pasted_1784200107571_22d36w.png

文件名还在目录项残留里，但 inode 数据块信息已经丢失

因此要换思路，去未分配空间里搜残留数据

blkls 可以提取文件系统中未分配的数据块，也就是删除文件可能残留的位置

pasted_1784200220238_y9d7bl.png

打开文件搜索关键字拿到 flag

pasted_1784200288913_9w5338.png