在資料恢復案例開始之前有幾個概念需要了解
塊組：Ext4檔案系統的全部空間被劃分為若干個塊組，每個塊組內的結構都是大致相同的。
塊組描述符表：每個塊組都對應一個塊組描述符，這些塊組描述符統一放在檔案系統的前部，稱為塊組描述符表。每個塊組描述符大小為32位元組，其主要描述塊點陣圖、i-節點點陣圖及i-節點表的地址等資訊。
超級塊(Superblock)：用於儲存檔案系統的配置引數(如塊大小、總塊數、i-節點數)和動態資訊(當前空閒塊數和i-節點數)。Ext4檔案系統的超級塊(Superblock)開始於1024位元組處，即2號扇區。
i節點：描述檔案的時間資訊、大小、塊指標等資訊。
塊組描述符和超級塊在塊中的位置：當塊大小為2個扇區時，0號塊是載入程式或者保留塊，超級塊起始於1號塊。當塊大小為4個扇區時，載入程式或者保留塊位於0號塊的前兩個扇區，超級塊位於0號塊的後兩個扇區。當塊大小為8個扇區時，載入程式或者保留塊位於0號塊的0-1號扇區，超級塊位於0號塊的2-3號扇區。
Ext4檔案系統的整體結構及第一個塊組的具體結構
如圖1所示。

資料恢復初檢和分析：
某公司Ext4檔案系統umount失敗，管理員進行了fsck操作檢查一致性，結果導致Ext4檔案mount不上(有時也會表現為導致目錄變成了檔案)。報錯提示資訊：mount: wrong fs type, bad option,bad superblock
由於日誌和資料不一致造成正常檔案系統資料被覆蓋的情形在Ext3、Ext4檔案系統中發生頻率較高，不過journal日誌檔案留有緩衝資料，資料恢復時可以通過joumal日誌檔案找到相應資訊並重建原始檔。

Linux系統的硬碟的第一個扇區是MBR扇區，通過MBR分割槽表觀察得知本案例中共分為兩個分割槽，分別為大小為7.8G的交換分割槽和大小為282G的檔案系統，共300G檔案大小。資料恢復工程師探討後決定通過joumal日誌檔案分析找回丟失的資料。

1.塊大小為固定的4KB，即8個扇區。
2. 超級塊(Superblock)起始位置在1024位元組處，即2號扇區，大小為2個扇區。

3.塊組描述表從第一個塊開始，即從4096位元組處開始。

資料恢復過程

首先用資料恢復工具將Ext4檔案系統開啟，可以看到0-23扇區的資料(包括超級塊和塊組描述符)被日誌記錄覆蓋。Ext3、Ext4檔案系統的日誌頁以C0 3B 39 98開頭。如圖2所示。

超級塊中可以反映出關於塊大小的資訊。從.journal日誌中吧超級塊的備份查找出來再通過資料恢復工具進行超級塊資訊的查詢。其標誌是“53ef”。查詢超級塊方式如圖3所示。檢視塊大小方法如圖4和圖5所示。超級塊0x18-0x1B處描述塊大小，確定本案例塊大小為4KB。

通過超級塊檢視塊大小如圖4所示。

圖4

通過資料恢復軟體的模板編輯器也可以顯示塊大小如圖5所示。

圖5
第二步，重建(恢復)超級塊；由於原檔案系統超級塊損壞，所以恢復檔案時，要把這部分超級塊資訊貼上回去，即放在2號扇區開始，或1024位元組處。做完以上操作，超級塊備份某些地方與實際的超級塊數值可能不一致，需要通過資料恢復工具的模板管理器進行修改。本案例對超級塊所在的塊組作了修改，它在第0個塊組裡。
如圖6所示。

圖6

第三步：重建(恢復)塊組描述表；由於部分塊組描述表被破壞，所以在.journal日誌檔案裡找到所有的塊組描述表，並把它們貼上回去。.journal日誌檔案裡，如圖1所示，塊組描述符表儲存在超級塊的後面。所以要找塊組描述表時，可以先找到超級塊。找到後將塊組描述符表內容貼上到4096位元組處。

第四步；重建(恢復)目錄；當我們要恢復某個資料夾裡的檔案時，比如我們需要恢復kyproc資料夾裡的資料。我們發現這些資料夾在WinHex裡是不能開啟的狀態。如圖7所示。很明顯這個目錄損壞了，開啟其節點資訊，發現正常資料被日誌填充，如圖8所示。

圖7

圖8
我們找到它的上一級目錄，即var資料夾。右擊點“open”，開啟看到var檔案裡的所有檔案的目錄資訊。找到要恢復的kyproc目錄的資訊，12 32 EE 00是其i-節點號，10 00表示其目錄項長度，06表示其檔名稱長度，02表示其檔案型別為目錄。如圖9所示。

圖9
然後在var資料夾的目錄塊下查詢kyproc目錄的位置，如圖10所示，標紅的位置是找到的結果。此位置顯示所在塊號為62399108。

圖10
根據所在塊號，就可以定位kyproc目錄相應節點的位置。由於人工補節點比較繁瑣，我們可以開啟.journal日誌檔案，從裡面找到其節點資訊，把相應的資訊貼上回去。
上述方法可以重建(恢復)目錄，恢復目錄裡的檔案也是通過同樣的方法從.journal日誌檔案裡找到相應的檔案的節點資訊，找到後貼上回原來的位置，達到重建(恢復)檔案的目的。