1.故障發生背景

Ext4檔案系統沒有umount下來，之後做了fsck操作檢查一致性，結果導致Ext4檔案mount不上，並且導致目錄變成了檔案。

報錯提示資訊：mount: wrong fs type, bad option, bad superblock

2.故障原理分析

某故障時，日誌和資料不一致造成的正常檔案系統資料被覆蓋的現象。這種故障在Ext3、Ext4檔案系統常有發生，好在.journal日誌檔案留有緩衝，恢復時可以從.journal日誌檔案裡找到相應資訊，並貼上回相應位置，達到重建原檔案的目的。

3.案例重要資訊

Linux系統的硬碟的第一個扇區是MBR扇區，從

Ext3、Ext4檔案系統有日誌功能，本案例可以從.journal日誌檔案中找到丟失資料。

1.塊大小為4KB，即8個扇區。

2.超級塊(Superblock)起始位置在1024位元組處，即2號扇區，大小為2個扇區。

3.塊組描述表從第一個塊開始，即從4096位元組處開始。

4.案例重要概念

超級塊(Superblock)：用於儲存檔案系統的配置引數(如塊大小、總塊數、i-節點數)和動態資訊(當前空閒塊數和i-節點數)。Ext4檔案系統的超級塊

塊組：Ext4檔案系統的全部空間被劃分為若干個塊組，每個塊組內的結構都是大致相同的。

塊組描述符表：每個塊組都對應一個塊組描述符，這些塊組描述符統一放在檔案系統的前部，稱為塊組描述符表。每個塊組描述符大小為32位元組，其主要描述塊點陣圖、i-節點點陣圖及i-節點表的地址等資訊。

i節點：描述檔案的時間資訊、大小、塊指標等資訊。

塊組描述符和超級塊在塊中的位置：當塊大小為2個扇區時，0號塊是載入程式或者保留塊，超級塊起始於1號塊。當塊大小為4個扇區時，載入程式或者保留塊位於0號塊的前兩個扇區，超級塊位於0號塊的後兩個扇區。當塊大小為8個扇區時，載入程式或者保留塊位於

Ext4檔案系統的整體結構及第一個塊組的具體結構如圖1所示。

5.解決步驟

步驟總結：

1.通過.journal日誌檔案裡的超級塊備份找到超級塊，確定塊大小。

2.通過.journal日誌檔案裡的超級塊備份找到超級塊，重建超級塊資訊。

3.通過.journal日誌檔案找到目錄節點，重建(恢復)目錄。

4.通過.journal日誌檔案找到目錄節點找到要恢復的檔案的節點資訊，重建(恢復)檔案。

首先用WinHex開啟Ext4檔案系統，可以看到0-23扇區的資料(包括超級塊和塊組描述符)被日誌記錄覆蓋。Ext3、Ext4檔案系統的日誌頁以C0 3B 39 98開頭。如圖2所示。

圖2

1. 確定塊大小

超級塊中有關於塊大小的資訊。從.journal日誌中查詢超級塊的備份。用WinHex查詢得到.journal日誌中超級塊的資訊，其標誌是“53ef”。查詢超級塊方式如圖3所示。檢視塊大小方法如圖4和圖5所示。超級塊0x18-0x1B處描述塊大小，確定本案例塊大小為4KB。

圖3

    通過超級塊檢視塊大小如圖4所示。

圖4

    或者WinHex模板編輯器也可以顯示塊大小如圖5所示。

圖5

2.重建(恢復)超級塊

由於原檔案系統超級塊損壞，所以恢復檔案時，要把這部分超級塊資訊貼上回去，即放在2號扇區開始，或1024位元組處。

做完以上操作，超級塊備份某些地方與實際的超級塊數值可能不一致，需要通過WinHex的模板管理器修改一下。本案例對超級塊所在的塊組作了修改，它在第0個塊組裡。如圖6所示。

圖6

3.重建(恢復)塊組描述表

由於部分塊組描述表被破壞，所以在.journal日誌檔案裡找到所有的塊組描述表，並把它們貼上回去。

.journal日誌檔案裡，如圖1所示，塊組描述符表儲存在超級塊的後面。所以要找塊組描述表時，可以先找到超級塊。找到後將塊組描述符表內容貼上到4096位元組處。

4.重建(恢復)目錄

 當我們要恢復某個資料夾裡的檔案時，比如我們需要恢復kyproc資料夾裡的資料。我們發現這些資料夾在WinHex裡是不能開啟的狀態。如圖7所示。很明顯這個目錄損壞了，開啟其節點資訊，發現正常資料被日誌填充，如圖8所示。

圖7

圖8

我們找到它的上一級目錄，即var資料夾。右擊點“open”，開啟看到var檔案裡的所有檔案的目錄資訊。找到要恢復的kyproc目錄的資訊，12 32 EE 00是其i-節點號，10 00表示其目錄項長度，06表示其檔名稱長度，02表示其檔案型別為目錄。如圖9所示。

圖9

然後在var資料夾的目錄塊下查詢kyproc目錄的位置，如圖10所示，標紅的位置是找到的結果。此位置顯示所在塊號為62399108。

圖10

根據所在塊號，就可以定位kyproc目錄相應節點的位置。由於人工補節點比較繁瑣，我們可以開啟.journal日誌檔案，從裡面找到其節點資訊，把相應的資訊貼上回去。

上述方法可以重建(恢復)目錄，恢復目錄裡的檔案也是通過同樣的方法從.journal日誌檔案裡找到相應的檔案的節點資訊，找到後貼上回原來的位置，達到重建(恢復)檔案的目的。