分类：数字取证

ext4 的 journal 日志记录了元数据变更，即使文件被删除，仍可通过分析日志与残留 inode 恢复文件名、时间戳与部分数据块。 !ext4 磁盘布局 一、使用 debugfs 提取已删除 inode