Ext4日志跟踪器：一种基于Ext4日志的文件事件生成改进方法

《Forensic Science International: Digital Investigation》：Ext4 Log Tracker: An enhanced approach to file event generation from Ext4 journal

　　

Junghoon Oh

韩国大田市儒城区儒城大路1559号ETRI附属研究所

摘要

Ext4文件系统通过其日志机制，能够在系统故障时快速恢复受损的文件系统。为此，日志数据以事务为单位存储与各种文件系统操作（如文件创建、删除、重命名和移动）相关的元数据变更。因此，Ext4日志数据包含了特定时期内发生的所有文件系统变更历史，通过分析这些数据，可以识别出该时期内的所有文件事件。然而，目前关于Ext4日志的研究主要集中在已删除文件的恢复上，而关于文件事件生成的研究存在一些局限性，比如时间线不明确，缺乏事件时间和路径信息，这使得它们难以应用于实际的数字取证调查中。因此，本文研究了一种改进的文件事件生成方法，以克服现有研究的这些局限性。为此，我们开发了用于Ext4日志事务回放、事件时间生成和事件路径生成的技术，并将它们结合在一起，开发出一种文件事件生成算法，还将其实现为一个工具。通过与现有工具的性能比较实验，该工具通过提供清晰的时间线生成、事件时间和路径信息以及额外的文件事件生成功能，显著提升了在数字取证调查中的实用性，从而证明了所提方法的有效性。

引言

在现代计算环境中，文件系统的稳定性和可靠性是确保数据一致性和完整性的关键因素。尤其是广泛应用于基于Linux的操作系统的Ext4文件系统，它通过其日志机制，能够在系统故障时快速恢复受损的文件系统。Ext4日志以事务为单位记录与各种文件系统操作相关的元数据变更，如文件创建、删除、重命名和移动等，在发生意外断电或系统崩溃时，对于将文件系统恢复到正常状态起着至关重要的作用（Fairbanks, 2012）。

由于这些特性，Ext4日志数据包含了特定时期内发生的所有文件系统变更，通过分析这些数据，可以详细重建该时期内发生的文件事件。然而，到目前为止，数字取证领域中关于Ext4日志的研究主要集中于已删除文件的恢复（Kim et al., 2012; Lee et al., 2019; Kim et al., 2021; Sirivaram and Roy, 2024）。从文件事件生成的角度来看，Kobayashi（2026）和ForensicXlab（2026a）研究了利用Ext4日志生成文件事件的方法，并实现了相应的工具并予以发布。不过，这些研究存在一些局限性，比如时间线不明确，缺乏事件时间和路径信息，这使得它们难以应用于实际的数字取证调查中。所谓清晰的时间线，是指能够根据事件发生的先后顺序准确排列文件或目录中事件的 timeline，从而让人们直观地了解事件之间的时间顺序和关联关系。

本文旨在克服以往研究的局限性，生成适用于实际数字取证调查的清晰文件事件时间线。为此，本文提出了一种改进的文件事件生成方法，以解决以往研究的不足。具体而言，我们开发了用于Ext4日志事务回放、基于事务提交时间生成事件时间以及生成事件路径的技术，然后通过结合这些技术设计出一种文件事件生成算法。该算法被实现为一个工具，我们还通过与其他现有工具的性能比较实验来验证所提方法的有效性。实验结果表明，该工具能够准确重建现有工具无法正确生成的文件事件时间线，并提供事件时间和事件路径信息，从而大大提升了其在数字取证调查中的适用性。此外，该工具还能生成以往研究遗漏的额外文件事件，进而增强了文件活动跟踪的能力。

本文的主要贡献如下：

• •
  与现有研究相比，本文提出了一种新的文件事件生成算法，该算法能够生成清晰的文件事件时间线以及事件时间和路径信息，从而提升了其在数字取证调查中的实际应用价值。
• •
  基于所提算法实现了一个工具，并通过与其他现有研究中提出的工具进行比较实验，给出了性能评估结果。
• •
  将该工具公之于众，为数字取证领域的进步做出贡献。

本文的其余部分结构如下：第2节介绍相关研究，第3节简要说明本研究采用的研究方法。第4节介绍Ext4日志的背景知识。第5节阐述本文提出的文件事件生成算法。第6节介绍基于所提算法实现的工具，并展示其与现有工具的性能对比结果。第7节介绍该工具的实际应用案例。第8节探讨本研究的局限性，第9节对全文进行总结。

章节片段

相关研究

本节回顾了与Ext4日志相关的现有研究。现有研究大致可分为利用日志数据恢复已删除文件和文件事件生成两大类。

方法概述

基于以往研究中所发现的局限性，本文提出了几个关键的研究问题。这些研究问题如下。

• •
  RQ1：是否能够生成包含事件时间戳和路径信息的清晰文件事件时间线，以便用于数字取证调查？
• •
  RQ2：是否能够检测到以往研究中未能识别的其他与文件事件相关的信息？

为回答这些研究问题，本文采用了

Ext4日志的整体结构

Ext4文件系统的日志由固定大小的块组成。每个日志块的起始处都有一个12字节的日志头部，其中包含日志魔术数（0xC03B3998）、日志块类型以及事务ID。这些头部信息用于识别日志块的类型，以及区分事务的顺序以及属于某个特定事务的块（The Linux Kernel Organization, 2026a）。

日志区域中的第一个块是

文件事件生成算法

本节详细描述了通过分析Ext4日志数据来生成文件事件的算法。

工具开发与评估

本节介绍了实现本文所开发的文件事件生成算法的工具，并说明了与该工具进行性能对比实验的结果。

案例研究

本章描述了使用本文实现的工具，分析攻击者的行为并确定在一个假设攻击场景中的初始入侵途径的过程。该假设攻击场景如下：首先，攻击者利用事先获取的账户凭证通过SSH访问目标系统（Ubuntu 22.04.5 LTS），然后将一个后门内核模块文件（backdoor.ko）和一个键盘记录器内核模块文件（keylogger.ko）下载到/home/blueangel目录中。

讨论与局限性

本文提出的文件事件生成算法存在一个结构上的局限性。该算法本质上是通过识别Ext4日志中记录的数据变化来生成文件事件的，这就需要比较变化前后的数据。因此，如果日志数据中不包含变化前的数据，就有可能无法识别出对应的变更事件。

例如，假设某个特定文件在之前就已经存在的情况

结论

Ext4文件系统的日志包含可用于快速且安全地恢复损坏文件系统的元数据；它以事务为单位存储一定时期内文件系统中发生的各种变更。正因为如此，通过分析Ext4日志数据，就可以识别出特定时期内发生的文件系统变更。然而，目前数字取证领域中关于Ext4日志的研究主要集中于

利益冲突声明

作者声明，他们不存在任何可能影响本文所述工作的已知利益冲突或个人关系。

Junghoon Oh拥有韩国大学信息安全研究生院的博士学位。他目前是韩国ETRI附属研究所的高级研究员。他的研究兴趣包括数字取证、文件系统取证、事件响应以及人工智能。