Estoy tratando de encontrar inodos eliminados en el sistema de archivos ext2. Y este es el enfoque que estoy tomando. Sin embargo, siento que estoy haciendo algo mal.
Primero busco 1024 bytes para el inicio del superbloque
Sé que el tamaño de bloque es de 1024 bytes, por lo que la tabla de descriptores de grupo comienza en el desplazamiento 2048.
La tabla de descriptores de grupo tiene un descriptor de grupo para cada grupo de bloques, ¿verdad? Entonces calculo el número de descriptores de grupos o grupos de bloques: inodes / inodes totales por grupo. Esto me da el valor 8, lo que significa que tengo 8 descriptores de grupo en mi tabla de descriptores de grupo de bloque.
Leí el campo first_inode_table para los 8 descriptores de grupo. Los descriptores de grupo tienen 32 bytes de longitud
Entonces aquí es donde me confundo. La tabla de inodo para el primer descriptor de grupo me da 260. Entonces, ¿esto significa que para acceder a la tabla de inodo para el primer grupo de bloques hago 260 * blockize?
Una vez que llego allí, estoy leyendo el campo dtime, que nos dice la última hora eliminada. Si eso es> 0, eso significa que se ha eliminado.
Entonces, otra confusión que tengo es que se dice que las primeras 11 entradas de la tabla de inodo están reservadas. Entonces, esto no debería ser un problema, siempre que revise todas las entradas de inodo de la tabla de inodo, ¿verdad?
¿Es correcto mi enfoque? Indícame la dirección correcta si ves algo mal.
fuente