袁 杰，江祖敏

（武漢大學(xué) 計(jì)算機(jī)學(xué)院，湖北 武漢 430072）

為了使個(gè)人的重要文件對(duì)其他人具有透明、不可見(jiàn)的效果，人們往往使用文件隱藏來(lái)達(dá)到目的。針對(duì)文件隱藏，一個(gè)重要的技術(shù)衡量指標(biāo)是文件的隱藏強(qiáng)度，即順利獲取被隱藏文件所需的時(shí)間復(fù)雜度?，F(xiàn)有文件隱藏技術(shù)包括：利用回收站特性，將文件偽裝為回收站中的文件[1]；修改注冊(cè)表，使得無(wú)法通過(guò)常規(guī)方法顯示隱藏文件[2]；改變API執(zhí)行流程，用自定義的文件相關(guān)函數(shù)入口地址替代原文件管理相關(guān)函數(shù)的入口地址，過(guò)濾掉待隱藏文件的有關(guān)內(nèi)容后再重新調(diào)用原函數(shù)；直接修改底層驅(qū)動(dòng)，對(duì)底層模塊返回的信息進(jìn)行過(guò)濾來(lái)實(shí)現(xiàn)文件隱藏[3-4]等。

FAT32文件系統(tǒng)[5-6]是微軟公司發(fā)明并擁有部分專利的文件系統(tǒng)，是一種規(guī)定文件在磁盤上的具體存儲(chǔ)形式的“格式標(biāo)準(zhǔn)”，通過(guò)它可有效地對(duì)物理磁盤進(jìn)行管理。由于它采用了以32位為一個(gè)表項(xiàng)的文件分配表 （File Allocation Table，F(xiàn)AT）來(lái)解決分區(qū)大小的局限，故稱之為FAT32。雖然微軟已經(jīng)推出了新一代文件系統(tǒng)NTFS（New Technology File System，NTFS）來(lái)改善文件系統(tǒng)的性能、可靠性和磁盤利用率等指標(biāo)，但FAT32仍然占據(jù)有極大的使用場(chǎng)合，目前眾多移動(dòng)設(shè)備上的文件系統(tǒng)，如U盤、手機(jī)SD卡、PDA上的擴(kuò)展存儲(chǔ)器大多采用FAT32文件格式，因此，研究基于FAT32文件系統(tǒng)的文件隱藏具有應(yīng)用價(jià)值。

在詳細(xì)分析FAT32文件系統(tǒng)組織文件和Linux虛擬文件系統(tǒng)（Virtual File System，VFS）支持多種文件系統(tǒng)原理的基礎(chǔ)上，本文基于FAT32管理文件和操作系統(tǒng)顯示文件的相關(guān)機(jī)理，采用修改文件目錄項(xiàng)有關(guān)屬性和重構(gòu)文件FAT表項(xiàng)序列排列結(jié)構(gòu)等技術(shù)，在邏輯上改變文件簇的位置，提出了一種具有高隱藏強(qiáng)度的文件隱藏方法。同時(shí)，根據(jù)Linux操作系統(tǒng)對(duì)FAT32的支持，利用Linux內(nèi)核提供的緩沖機(jī)制，在Linux系統(tǒng)上進(jìn)行了實(shí)驗(yàn)驗(yàn)證。實(shí)驗(yàn)結(jié)果和分析表明，本文提出的方法不僅能實(shí)現(xiàn)與操作系統(tǒng)無(wú)關(guān)的文件隱藏，且相比已有方法，具有更好的隱藏效果，文件隱藏方法實(shí)現(xiàn)簡(jiǎn)單，沒(méi)有較大增加技術(shù)難度和系統(tǒng)消耗，對(duì)現(xiàn)實(shí)應(yīng)用具有一定意義。

1 FAT32文件系統(tǒng)簡(jiǎn)介

FAT32文件系統(tǒng)采用一種基于位示圖的方法來(lái)實(shí)現(xiàn)對(duì)磁盤文件的管理和檢索，并將簇（cluster）作為文件的分配計(jì)量單位，而一個(gè)具體文件也以磁盤簇的大小為單位，同樣地被劃分為若干個(gè)文件簇。在低于4 G的分區(qū)中，每簇一般包括8個(gè)扇區(qū)，共4 k字節(jié)。FAT32宏觀上由3部分組成，即：引導(dǎo)記錄區(qū)（Dos Boot Record，DBR）、FAT表和數(shù)據(jù)區(qū)，如圖 1所示。引導(dǎo)記錄區(qū)描述了FAT32文件系統(tǒng)總體的有關(guān)屬性，如每個(gè)扇區(qū)的大小、每個(gè)簇所占有的扇區(qū)數(shù)等。FAT表以4個(gè)字節(jié)為單位作為一個(gè)表項(xiàng)，記錄著簇的使用情況，按表項(xiàng)值的不同，可分為空簇未使用、已分配簇、壞簇、系統(tǒng)保留簇等類型。數(shù)據(jù)區(qū)是存放磁盤數(shù)據(jù)的具體區(qū)域，目錄項(xiàng)文件和文件的具體內(nèi)容都存放在該區(qū)域內(nèi)。

圖1 FAT32存儲(chǔ)結(jié)構(gòu)Fig.1 Storage structure of FAT32

FAT32實(shí)現(xiàn)對(duì)文件的有效管理，依賴于兩個(gè)重要的元素：FAT表和目錄項(xiàng)。FAT表實(shí)質(zhì)上是一張磁盤空間分配情況登記表，它以簇號(hào)的方式記錄了簇的分配情況。FAT表項(xiàng)和磁盤簇一一對(duì)應(yīng)，由于一個(gè)文件在磁盤上不一定是連續(xù)存放，為了讓整個(gè)文件在邏輯上形成一個(gè)連續(xù)的磁盤簇鏈，F(xiàn)AT32文件系統(tǒng)通過(guò)在磁盤簇所對(duì)應(yīng)的FAT表項(xiàng)中記錄下該簇的下一簇的磁盤簇號(hào)來(lái)達(dá)到上述目的。目錄項(xiàng)是一個(gè)以32字節(jié)為單位、有特定含義的數(shù)據(jù)結(jié)構(gòu)，新建的目錄項(xiàng)被分配有一個(gè)磁盤簇。目錄項(xiàng)存放在上層目錄對(duì)應(yīng)的磁盤簇中，記錄了對(duì)應(yīng)文件的有關(guān)屬性，如文件的文件名、擴(kuò)展名、文件創(chuàng)建時(shí)間等，其中與本文有關(guān)的重要屬性有：字節(jié)偏移量為0BH處的“文件屬性”、字節(jié)偏移量為14H～15H處的“文件起始簇號(hào)高16位”和字節(jié)偏移量為1AH～1BH的“文件起始簇號(hào)低16位”。

如圖2所示，操作系統(tǒng)對(duì)文件進(jìn)行訪問(wèn)時(shí)，總是先訪問(wèn)文件的目錄項(xiàng)，得到文件的起始簇簇號(hào)，再找到該簇號(hào)對(duì)應(yīng)的FAT表項(xiàng)，讀取出其中的內(nèi)容來(lái)得到下一簇的簇號(hào)，再在下一簇對(duì)應(yīng)的FAT表項(xiàng)中找到再下一簇的簇號(hào)，以此類推，直到在FAT表項(xiàng)中找到文件最后一簇的標(biāo)志0FFFFFFFH，對(duì)該文件的查找才結(jié)束。

圖2 FAT32磁盤數(shù)據(jù)結(jié)構(gòu)及進(jìn)行文件隱藏后的結(jié)果Fig.2 Disk data structures of FAT32 and results of file hidden

2 一種基于FAT32的文件隱藏方法

文獻(xiàn)[7]申請(qǐng)了一項(xiàng)基于FAT32文件隱藏的專利，其利用操作系統(tǒng)不顯示卷標(biāo)文件的基本原理，將待隱藏文件目錄項(xiàng)中的“文件屬性”字段修改為卷標(biāo)屬性值而實(shí)現(xiàn)文件隱藏。如用戶想隱藏圖2中的HiddenData.txt文件，則只需將目錄項(xiàng)HiddenData.txt的第12個(gè)字節(jié)的第4位數(shù)據(jù)位置1（00001000）即可。該方法不受操作系統(tǒng)的限制，可實(shí)現(xiàn)永久隱藏，且隱藏速度不受文件大小影響，具有一定優(yōu)勢(shì)。但由于該方法主要是利用操作系統(tǒng)顯示文件的有關(guān)原理，并沒(méi)有從根本上改變文件的存儲(chǔ)位置，因此，只要找出文件系統(tǒng)中多余的具有卷標(biāo)屬性的目錄項(xiàng)，然后根據(jù)找到的目錄項(xiàng)和FAT表便可以找到所有隱藏文件。

2.1 新方法的提出

由上述FAT32文件系統(tǒng)的介紹可知，操作系統(tǒng)查找文件在磁盤上的具體位置時(shí)，以FAT表項(xiàng)值為查找索引，故每一個(gè)文件都存在一個(gè)FAT表項(xiàng)序列。文獻(xiàn)[7]存在的不足在于根據(jù)多余的具有卷標(biāo)屬性的目錄項(xiàng)后便可以順利獲得隱藏文件，因此，若先將一個(gè)文件的FAT表項(xiàng)序列的排列結(jié)構(gòu)保存起來(lái)，然后隨機(jī)打亂重排該結(jié)構(gòu)后再寫回到FAT表中，那么即使找到了隱藏的目錄項(xiàng)，由此目錄項(xiàng)也無(wú)法順利獲得被隱藏的文件信息?；诖?，本文提出了一種重構(gòu)FAT表項(xiàng)序列的文件安全隱藏方法。

為了有效存儲(chǔ)文件的FAT表項(xiàng)序列，本文先定義如下的序列比較規(guī)則：

根據(jù)以上比較規(guī)則，每種FAT表項(xiàng)序列的排列方案對(duì)應(yīng)一個(gè)整數(shù)編號(hào) N，且 N∈[1，k!]。

2.2 重構(gòu)FAT表項(xiàng)序列的文件安全隱藏方法

在得到待隱藏文件的路徑信息后，具體的隱藏步驟如下：1）根據(jù)路徑名分離出每一層目錄的名稱；

2）讀取DBR中有關(guān)屬性的信息，得到根目錄所在的磁盤簇號(hào)；

3）遍歷根目錄磁盤簇中的所有目錄項(xiàng)，找到待隱藏文件第一層目錄的目錄項(xiàng)；

4）根據(jù)找到的目錄項(xiàng)中的“文件起始簇號(hào)”找到該層目錄的磁盤簇號(hào)；

5）搜索該層目錄所對(duì)應(yīng)的磁盤簇，得到下一層目錄的目錄項(xiàng)；

6）重復(fù)步驟4、5，直到找到待隱藏文件的最后一層目錄的目錄項(xiàng)；

7）在最后一層目錄對(duì)應(yīng)的磁盤簇中找到待隱藏文件的目錄項(xiàng)，得到文件的起始簇號(hào)n1；

8）從FAT表中找到文件起始簇號(hào)對(duì)應(yīng)的FAT表項(xiàng)，得到下一簇的磁盤簇號(hào)n2；

9）讀取出FAT表中第n2個(gè)表項(xiàng)的表項(xiàng)值，即n3。如此循環(huán)，直到讀取出來(lái)的FAT表項(xiàng)值為結(jié)束標(biāo)記值0FFFFFFFH；

10）根據(jù)序列比較規(guī)則計(jì)算 n1、n2、n3…nm…對(duì)應(yīng)的編號(hào)值N，修改待隱藏文件的目錄項(xiàng)，使其具有卷標(biāo)屬性，同時(shí)，將目錄項(xiàng)的“起始簇號(hào)”由n1修改為nm；

11）隨機(jī)重排序列 n1、n2、n3…nm…，使其變?yōu)?nm、…，并將重排后的結(jié)果序列寫回到對(duì)應(yīng)FAT表項(xiàng)中；

12）返回編號(hào)值N給用戶，作為用戶以后獲取隱藏文件的“訪問(wèn)密碼”。文件隱藏結(jié)束。

例如，使用上述隱藏方案隱藏圖2中的HiddenData.txt文件后，磁盤結(jié)構(gòu)如圖2右部所示。

當(dāng)用戶訪問(wèn)隱藏文件時(shí)，只需要輸入“訪問(wèn)密碼”，程序便可根據(jù)“訪問(wèn)密碼”恢復(fù)FAT表項(xiàng)序列的正確排列順序，從而正確訪問(wèn)文件。

2.3 對(duì)新方法的分析

文中提出的文件隱藏方法不僅不依賴于具體的操作系統(tǒng)，而且隱藏強(qiáng)度高。

雖然新方法仍然是基于操作系統(tǒng)不顯示卷標(biāo)文件的基本原理實(shí)現(xiàn)文件隱藏，但該方法通過(guò)修改目錄項(xiàng)中的起始簇號(hào)和FAT表項(xiàng)序列的排列結(jié)構(gòu)，即使找到了多余的具有卷標(biāo)屬性的目錄項(xiàng)，由該目錄項(xiàng)獲得被隱藏文件也無(wú)法實(shí)現(xiàn)，這是因?yàn)橐蕾囉诖騺y的FAT表項(xiàng)序列，被隱藏文件在磁盤上的邏輯存儲(chǔ)位置被改變。

3 Linux對(duì)FAT32的支持

Linux通過(guò)VFS機(jī)制支持多種文件系統(tǒng)[8]。每個(gè)掛載到Linux系統(tǒng)下的文件系統(tǒng)都由一個(gè)super_block描述，其中的一個(gè)成員變量s_fs_info指向一個(gè)特定文件系統(tǒng)定義的super_block，對(duì)FAT32文件系統(tǒng)來(lái)說(shuō)，這個(gè)結(jié)構(gòu)就是msdos_sb_info。該結(jié)構(gòu)體描述了FAT32文件系統(tǒng)的特有屬性，當(dāng)FAT32文件系統(tǒng)被掛載 （mount）時(shí)，內(nèi)核通過(guò)調(diào)用fat_fill_super函數(shù)讀取磁盤上的第一個(gè)扇區(qū)，并將相應(yīng)參數(shù)填充到已分配的super_block，如此，便在內(nèi)存中建立了該FAT32文件系統(tǒng)的所有描述信息，直到該文件系統(tǒng)被卸載（unmount）時(shí)，該 super_block 才會(huì)被銷毀。

Linux操作系統(tǒng)中的每個(gè)文件都使用一個(gè)被定義為inode的結(jié)構(gòu)體描述。FAT32文件系統(tǒng)的目錄項(xiàng)在Linux中被定義為一個(gè)msdos_dir_entry結(jié)構(gòu)體。為了與VFS接合，Linux內(nèi)核根據(jù)從磁盤上讀取的目錄項(xiàng)信息，利用函數(shù)fat_fill_inode動(dòng)態(tài)構(gòu)建inode，而FAT32下的inode結(jié)構(gòu)——msdos_inode_info，可通過(guò)函數(shù) MSDOS_I（inode）得到。 其中，msdos_inode_info的成員域i_start指出了文件起始簇對(duì)應(yīng)的磁盤簇號(hào)。

為保持從目錄訪問(wèn)inode的高效率，Linux維護(hù)了表達(dá)路徑與inode對(duì)應(yīng)關(guān)系的目錄項(xiàng)對(duì)象dentry，被操作系統(tǒng)訪問(wèn)過(guò)的目錄項(xiàng)有關(guān)信息會(huì)被存入dentry結(jié)構(gòu)中。每個(gè)文件或目錄項(xiàng)都至少有一個(gè)dentry結(jié)構(gòu)，操作系統(tǒng)通過(guò)dentry在內(nèi)存中逐漸構(gòu)建一棵描述物理磁盤上文件層次關(guān)系的樹型目錄。當(dāng)同一目錄被再次訪問(wèn)時(shí)，操作系統(tǒng)不需要重復(fù)訪問(wèn)磁盤進(jìn)行逐級(jí)查找，而是先在內(nèi)存中查找dentry組成的目錄樹，找到目標(biāo)文件對(duì)應(yīng)的dentry后，就可以根據(jù)結(jié)構(gòu)體成員d_inode找到該文件對(duì)應(yīng)的inode，進(jìn)而進(jìn)行與文件有關(guān)的各種操作。這種機(jī)制有效地減少了系統(tǒng)訪問(wèn)磁盤的次數(shù)，提高了系統(tǒng)的整體性能。

若想獲得一個(gè)文件簇在磁盤中的具體位置，Linux內(nèi)核并不是把整個(gè)FAT表讀到內(nèi)存中，然后從文件起始簇開始逐個(gè)查找FAT表。為了避免頻繁讀磁盤，它通過(guò)一個(gè)cache_lru鏈表來(lái)加快查找速度。cache_lru是msdos_inode_info的一個(gè)成員變量，它記錄最近訪問(wèn)過(guò)的FAT表表項(xiàng)，每個(gè)鏈表元素為結(jié)構(gòu)體fat_cache，fat_cache描述了一個(gè)文件簇在磁盤上的實(shí)際位置。內(nèi)核調(diào)用函數(shù)fat_get_cluster查找一個(gè)文件簇在磁盤中的實(shí)際位置時(shí)，先通過(guò)fat_cache_lookup函數(shù)從cache_lru鏈表中查找，當(dāng)鏈表中不存在時(shí)，才從磁盤FAT表中進(jìn)行查找。因此，通過(guò)每個(gè)inode的fat_cache隊(duì)列，系統(tǒng)可以快速獲得文件在磁盤上的實(shí)際位置。

4 實(shí)驗(yàn)過(guò)程

文中提出的文件隱藏方法需要對(duì)FAT表項(xiàng)進(jìn)行重構(gòu)，故首先必須找到FAT表在磁盤中的具體位置，這通過(guò)采用sb_bread函數(shù)讀取磁盤第一個(gè)扇區(qū)得到實(shí)現(xiàn)。DBR中的具體信息在Linxu中被定義為結(jié)構(gòu)體fat_boot_sector，根據(jù)fat_boot_sector中的相關(guān)成員可獲得FAT表的起始位置及其占有的磁盤扇區(qū)的大小。

獲得一個(gè)路徑對(duì)應(yīng)的inode時(shí)，文中使用了函數(shù)open_namei，該函數(shù)可由路徑得到相應(yīng)的nameidata結(jié)構(gòu)，進(jìn)而可得到待隱藏文件的 inode； 根據(jù) inode獲得對(duì)應(yīng)msdos_inode_info后，由它的成員i_start可得到文件的起始簇號(hào)，最后使用函數(shù)fat_ent_read可找到待隱藏文件的所有磁盤簇號(hào)序列。在Linux系統(tǒng)中，卷標(biāo)屬性被定義為一個(gè)宏：#define ATTR_VOLUME 8，為了修改目錄項(xiàng)中的有關(guān)屬性，文中使用了函數(shù)fat_notify_change，程序部分源代碼如下所示。

為了驗(yàn)證上述方法的可行性，文中在Ubuntu10.04.4操作系統(tǒng)中掛載一個(gè)文件系統(tǒng)為FAT32的4G U盤后，執(zhí)行上述程序，成功實(shí)現(xiàn)了文件隱藏，故上述方法具有實(shí)際可行性。

5 結(jié)束語(yǔ)

文中分析了FAT32文件系統(tǒng)基本原理和現(xiàn)有基于FAT32的文件隱藏方法，研究了Linux內(nèi)核中有關(guān)FAT32的重要數(shù)據(jù)結(jié)構(gòu)和函數(shù)，討論了Linux通過(guò)VFS支持多種文件系統(tǒng)的機(jī)制。在此基礎(chǔ)上，提出了一種新的文件隱藏方法，并在Linux操作系統(tǒng)上進(jìn)行了具體實(shí)現(xiàn)。實(shí)驗(yàn)結(jié)果和分析表明，該方法不僅能實(shí)現(xiàn)高強(qiáng)度的文件隱藏，而且隱藏方法簡(jiǎn)單、輕量，只需修改部分FAT表項(xiàng)便能實(shí)現(xiàn)。將文中提出的文件隱藏方法與其他文件安全技術(shù)結(jié)合，運(yùn)用到Android智能手機(jī)等資源有限的設(shè)備上的SD卡的文檔保護(hù)中，是將來(lái)進(jìn)一步的研究?jī)?nèi)容。

[1]劉安潔，崔廣潤(rùn).在Dos下恢復(fù)Windows回收站中的文件[J].科技情報(bào)開發(fā)與經(jīng)濟(jì)，2006，16（23）：250-251.

LIU An-jie，CUI Guang-run.Recovering the files in windows recycle bin in DOS[J].Sci-Tech Information Development&Economy，2006，16（23）：250-251.

[2]郭建偉.簡(jiǎn)單操作讓文件隱藏更徹底[J].電腦迷，2010（20）：61.

GUO Jian-wei.Simple operation makes files hidden more completely[J].PC Fan，2010（20）：61.

[3]王全民，王淞，金華鋒，等.基于Windows NT平臺(tái)文件隱藏和檢測(cè)系統(tǒng)的設(shè)計(jì)[J].計(jì)算機(jī)安全，2010（6）：27-29.

WANG Quan-min，WANG Song，JIN Hua-feng，et al.The design of file hiding and detection system based on the windows NT platform [J].Network and Computer Security，2010（6）：27-29.

[4]何耀彬，李祥和，孫巖.基于驅(qū)動(dòng)堆棧單元的文件隱藏方法[J].計(jì)算機(jī)工程，2011，37（13）：9-12.

HE Yao-bin，LI Xiang-he，SUN Yan.File hide method based on drive Stack unit[J].Computer Engineering，2011， 37（13）：9-12.

[5]Microsoft Corporation.Microsoft extensible firmware initiative FAT32 file system specification：FAT：general overview of ondisk format[S].Version 1.03，December 6，2000.

[6]黨瀟瑜.一種輕量化FAT文件系統(tǒng) [J].電子科技，2011（5）：91-93.

DANG Xiao-yu.A lightweight FAT file system[J].Electronic Science and Technology，2011（5）：91-93.

[7]華中科技大學(xué).基于 FAT32磁盤文件系統(tǒng)結(jié)構(gòu)的文件隱藏方法：中國(guó)，ZL03118544.4[P].2003：1-9.

[8]敖青云.存儲(chǔ)技術(shù)原理分析：基于Linux 2.6內(nèi)核源代碼[M].北京：電子工業(yè)出版社，2011.