如何从磁盘提取原始 ext3 inode 数据？

Question 1

debugfs 中的命令imap可以告诉您 inode 在哪里。例子：

$ debugfs -R 'imap <128901>' /dev/whatever
debugfs 1.42.5 (29-Jul-2012)
Inode 128901 is part of block group 16
        located at block 524344, offset 0x0400

要获取 inode 128901 的原始转储，您需要寻求字节524344*block_size + 0x0400并读取inode_size字节。您可以使用statsin 命令debugfs或单独的实用程序获取尺寸dumpe2fs。

stats或者dumpe2fs还会为您提供所有 inode 存储区域的完整列表，以便您可以构建自己的函数，该函数的执行效果相当于无需每次imap实际调用（或交互运行）。debugfs请记住，当您进行计算时，没有索引节点零。 inode 1 从第一个 inode 块的字节 0 开始。

如果您想在没有外部程序的 C 程序中执行此操作，那么您应该查看libext2所有标准 ext2 实用程序都使用的库。我自己没有使用过它，但我怀疑使用 libext2 文档加上 debugfs 的源代码作为灵感，您可以imap非常轻松地编写自己的类似函数。

...这就是我想到的地方，也许你没有字面上地意味着你想要 inode 的原始数据。也许你想要 inode 描述的文件的内容。在这种情况下，就更容易了。debugfs有一个内置命令可以实现这一点：

debugfs -R 'cat <128901>' /dev/whatever

打印 inode 号为 128901 的文件的内容。

Answer

debugfs 中的命令imap可以告诉您 inode 在哪里。例子：

$ debugfs -R 'imap <128901>' /dev/whatever
debugfs 1.42.5 (29-Jul-2012)
Inode 128901 is part of block group 16
        located at block 524344, offset 0x0400

要获取 inode 128901 的原始转储，您需要寻求字节524344*block_size + 0x0400并读取inode_size字节。您可以使用statsin 命令debugfs或单独的实用程序获取尺寸dumpe2fs。