摘要：文章研究了基于日志文件的EXT3文件系统数据恢复方法，采用实例式研究方法，首先分析了EXT3文件系统中文件构成和文件被删除之后inode结点的变化；接下来研究了通过inode编号定位inode结点所在数据块的方法，以及通过日志恢复被删除文件的地址指针和文件名称的方法；最后介绍了通过地址指针和文件名将若干个地址空间中的数据合并成一个文件的方法。最终得出的结论是在日志文件和删除数据未被完全覆盖的情况下，可以通过日志有效恢复EXT3文件系统中被删除的文件。该研究成果可应用于公安机关的电子数据鉴定工作，也可作为公安院校的《电子物证检验》课程。

关键词：ext3 日志 恢复 

单位：中国刑警学院计算机犯罪侦查系 辽宁沈阳110854