ｌ。；。：．．

帅｜Ｉ｛ｌＩ ｌ ｌＩ ｜Ｉ Ｉ｜ｌ ｌＩｌ ｝Ｉｌ｜｛Ｉ ｌ ｜ Ｉ｜Ｉｌ ｌ｜咖

Ｙ１ ８０２７ １ ２

独创性声明

本人声明所呈交的学位论文是本人在导师指导下进行的研究工

作及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地

方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含

为获得电子科技大学或其它教育机构的学位或证书而使用过的材料。

与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明

确的说明并表示谢意。

躲一吼锄，哞蜥７日
论文使用授权

本学位论文作者完全了解电子科技大学有关保留、使用学位论文

的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁

盘，允许论文被查阅和借阅。本人授权电子科技大学可以将学位论文

的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或

扫描等复制手段保存、汇编学位论文。

（保密的学位论文在解密后应遵守此规定）

日期勃／ｏ＂月，７日
 摘要

摘要

随着计算机技术的发展和计算机的广泛应用，对计算机的安全的要求也越来

越高。一个主要的问题是保证磁盘中的数据的安全，并能实时地发现其中的异常
运行状况，从而及时地进行系统的改进和维护，这需要实时的监控计算机在进行

文件操作的时候产生的各种信息和数据。当前ｌｉｒｍｘ平台下并没有很好的工具来
监控文件操作，因此设计一个基于ｌｉｎｕｘ平台的文件系统监控系统变得十分重要。

文件系统的监控是保护磁盘数据安全的一种强大的方式，通过在文件系统之

上增加一层文件系统过滤操作，可以达到防止系统的关键文件被进程非法访问的
目的，并为系统安全提供了日志信息以供分析，有着重要的理论和实践意义。
本文阐述了该课题的选题意义以及国内外发展现状，研究了ｌｉｎｕＸ内存文件

系统的实现，提出了以Ｒｏｏ骶ｔ监控文件系统的方式，设计并实现了基于ｌ证ｕｘ内
核驱动的文件系统监控系统。该监控系统在１ｉＩｌｕｘ内核中位于ＶＦｓ和下层具体的
文件系统之间，它能监控所有文件操作，并根据用户提供的监视信息来过滤需要
监控的进程和关键文件，并在过滤操作完成之后，转发给下层的文件系统操作去

完成。系统分为用户模块，ＭＦｓ（Ｍｏｌｌｉｔｏｒ Ｆｉｌｅｓｙｓｔｅｍ）模块和通信模块。用户模块
在用户空间提供监控的进程列表和关键文件列表并提供配置功能，并展示监控之

后的日志信息；ＭＦｓ模块是核心模块，是一个ｌｉｎｕｘ内核可加载内核模块，实现
了一个带有监控功能的文件系统，动态加载在内核的ｖＦＳ和下层文件系统之间，

根据监控信息来过滤所有文件操作；通信模块则提供ＭＦＳ模块与用户监视模块之
间的数据通信，将用户模块指定的进程和关键文件信息等配置传递给ⅪＳ模块以
及将Ⅷｓ模块得到的日志信息反馈给用户监视模块。本文详细描述各个模块的设
计和具体实现。

关键字：监控，文件系统，内核可加载模块，ｍＳ
 ＡＢＳｌＲＡ（了ｒ

ＡＢＳＴＲＡＣＴ

Ｗｉ也廿ｌｅ ｄｅｖｅｌ叩ｍｅｎｔ ｏｆ ｃｏｍｐｕｔｅｒ ｔｅｃ：Ｉｌｌｌ０１０影锄ｄ ｅＸｔ吼ｓｉＶｅ ａｐｐｌｉｃａｔｉｏｎ，ｍｅ

ｃ０ＩＩｌｐｕｔｅｒ ｓｅ呻ｒｅｑｕｉｒ锄跚ｔＳ ａｒｃ：ｉＩｌｃｒｅａＳｉＩｌ酉ｙ ｈｉ曲ｅｒ ａＩｌｄ １１ｉ曲盯．Ａ ｍ勾０ｒ ｐｒｏｂｌｅｍ ｉｓ

ｔｏ ｅｎｓｌｌｒｅ也ａｔ ｔｌｌｅ ｓｅｃ面ｔ），ｏｆ ｔ１１ｅ ｄａｔａ ｉｎ ｔ１１ｅ ｄｉｓｋ，锄ｄ ｃ跹ｒｅａｌ－ｔｉｍｅ ｔｏ ６ｎｄ ｎｌｅ ｄｂｎｏ肋ａ１
ｏｐｅｒａｔｉｎｇ ｃｏｎｄｉｔｉｏＩｌＳ，趾ｄ ｎ１＿Ｉｌｓ ｔｉｍｅｌｙ 趾ｄ ｓｙｓｔ锄ａｔｉｃ ｉｍ】砷Ｖ锄ｅｎｔｓ 缸ｄ
ｍａｌｌｉｔ％蛆ｃｅ，ＷＩｌｉｃｈ ｒｅｑｕｉｒｃｓ ｒｅａｌ－ｔｉＩｎｅ缸ａｌｙｓｉｓ ｎｌｅ ｂ１１ｄｓ ｏｆ ｉｎｆ．０衄ａｔｉｏｎ ａｎｄ ｄ刁忱ｄＩｌｒｉｎｇ

６１ｅ ０ｐｅｒａｔｉｏＩｌｓ ｇｅｎｅｒａｔｅｄ．Ｂｕｔ廿ｌｅ ｃ１１玎髓ｔ ｌｉｎ：１１）【ｐｌａｔｆ０锄，ａＩｌｄ ｔｌｌｅｒｅ ｉｓ ｎｏ ９００ｄ ｔ００ｌ ｔ０

ｍｏＩｌｉｔｏｒ ｆｉｌｅ ０ｐ耐ｉｏｎｓ，ａｎｄ ｍｅｒｅｆ．ｏｒｅ ｔＯ ｄｅｓｉｇｎ ａ ｍｅ ｓｙｓｔｅｍ ｂ雒ｅｄ ｌｉｍⅨｐｌａｔ内衄

ｍｏｎｉｔｏ血ｌｇ ｓｙＳｔ锄ｂｅｃｏｍｅ ｉｍｐｏｒｔａＩｌｔ．
Ｔｈｅ矗ｅ ｓｙｓｔｅｍ ｍｏｌｌｉｔｏｒｉｎｇ ｉｓ ｔｏ ｐｒｏｔｅｃｔ ｍｅ ｄｉｓｋ ｄａｔａ ｓｅ训饥ａ ｐｒｏｗｅｒｆｍ ｗａｙ ｂｙ
ｔｌｌｅ ６ｌｅ ｓｙＳｔｅｍ ０ｎ ｔｏｐ ｏｆ ａｄｄｉｔｉｏｎａｌ ｌａｙｅｒ ｏｆ丘ｌｅ ｓｙｓｔｅＩＩｌ ｆｉｌｔｅｒ ０ｐｅｒａｔｉｏｎｓ，ｔｈｅ ｓｙＳｔｅｍ ｃ锄

ｂｅ ａ幽ｅＶｅｄ ｔｏ ｐｒｅＶｅｎｔ ｕ１１ａｕｎｌｏ出ｅｄ ａｃｃ器ｓ ｎｌｅ ｋｅｙ丘１鹊ｗ嬲ｎｌｅ ｐｕＩｐｏｓｅ ｏｆ也ｅ

ｐｒｏｃｅｓｓ，ａｎｄ ｐｒｏ、，ｉｄｅｓ ｍｅ ｌｏｇ ｉＩｌｆｏｒｍａｔｉｏｎ ｆｏｒ姐ａｌｙｓｉｓ ｆｏｒ也ｅ ｓｙｓｔｅｍ ｓｅｃｕｄｔ）ｒ，、）ｌ，＿ｈｉｃｈ ｈ硒

ｉｍｐｏｒｔａｎｄ ｍｅｏｒｅｔｉｃａｌ ａＩｌｄ ｐｒａｃ石ｃａｌ ｓｉ鲥ｆｉｃａ＝ｎｃｅ．．

１１１ｉｓ ｗｏｒｋ ｄｅｓｃｒｉｂｅＳ ｎｌｅ ｓｉ９１１ｉ丘ｃａｎｃｅ ｏｆ也ｅ ｓｕｂｊｅｃｔ ｔｏｐｉｃｓ ｏｆ廿１ｅ ｄ吖ｅｌｏｐＩｌｌｌｅｎｔ ｏｆ也ｅ

ｓｔａｔｕｓ ｑｕｏ ａｔ ｈ咖ｅ ａｎｄ ａ：ｂｏａｒｄ，ａＩｌｄ ｐ呲ｆｏｒｗａｒｄ ａ ｎｅｗ ｍｅｍｏｄｓ ｏｆ ｍｏＩｌｉｔｏｒｉＩｌｇ ｍｅ ｊｆｉｌｅ

ｓｙＳｔｅｍ ｗｌｌｉｃｈ ｉｓ ｄｅｓｉｇｎｅｄ ａ１１ｄ ｉｍｐｌｅｍｅｎｔｅｄ ｂａｓｅｄ ｏｎ １ｉｎｕｘ ｋｅｍｅｌ ｓｙｓｔｅｍ越Ｖ钉

ｍｏＩｌｉｔｏ曲Ｑｇ ｓｙｓｔｅｍ．ＴＩｌｉｓ ｍｏｌｌｉｔ矾ｎｇ ｓｙｓｔｅｍ ｉｎ ｍｅ １ｉｎｕｘ ｋｅｍｃｌ ｉｓ ｅｑｕｉＶ ａ：ｌｅｎｔ ｔｏ ａ丘１ｅ

ｓｙＳｔ锄６１ｔｅｒ，Ｉｏｃａｔｅｄ ａｔ ｖＦＳ ａｎｄ ｌｏｗｅｒ ｓｐｅｃｉ６ｃ ｆｉｌｅ ｓｙＳｔｅｎｌｓ．Ｉｔ ｍ砸ｔｏｒＳ ａｌｌ矗１ｃ

０ｐ删０１１Ｓ，ａｃｃｏｒｄｉｎｇ ｔｏ ｎｌｅ ｕｓｅｒ ｔｏ ｐｒ０、，ｉｄｅ ｍｏＩｌｉｔｏ血ｇ ｉｎｆｏ册ａｔｉｏＩｌＳ ｔｏ ６】ｔｅｒ、）Ｉｒ！１１ｉｃｈ ｎｅｅｄ

ｍｅ ｐｒｏｃｅｓｓ ｉｎｆｏｍａｔｉｏｌｌｓ ｗｌｌｉｃｈ ｔ０ ｂｅ ｍｏＩｌｉｔｏｒｅｄ 孤ｄ ｋｅｙ ｆｉｌｅｓ ｌｉｓｔ．ｏｎｃｅ ｎｌｅ ｆｉｌｔ耐ｎｇ

ｏｐｅ础ｏｎｓ ｉｓ ｃｏ如ｐｌｅｔｅ，ｏｐｅ枷ｏｎａｌ ｐｒｏｃｅｓｓｅｓ、Ⅳｉ１１ ｂｅ ｆｏｒｗａｒｄｅｄ ｔｏ ｍｅ １０ｗｅｒ丘ｌｅ ｓ）哦ｅｍ

０ｐｅ姐＿ｔｉｏｎ ｔｏ ｃｏｍｐｌｅｔｅ．Ｔ１１ｉｓ ｍ０１１ｉｔｏ血ｇ ｓｙＳｔｅｍ ｄｅｓｉ踟ｉｓ ｄｉ啊ｄｅｄ ｉ１１ｔ０ ａ ｌｌｓ凹ｍｏｎｉｔｏｒｉｎｇ

ｍｏｄｕｌｅ，ＭＦＳ（Ｍｏｍｔｏｒ ＦｉｌｅＳｙｓｔｅＩｌｌ）ｍｏｄｕｌｅ ａ１１ｄ ｃｏｍｎｎｍｊｃａｔｉｏｎ ｍｏｄｕｌｅ，Ｕｓｅｒ ｍｏｄｕｌｅ

ｉ１１ ｕｓｅｒ Ｓｐａｃｅ ｔｏ ｐｒ０Ｖｉｄｅ ｍｏｌｌｉｔｏｒｉｎｇ ｏｆ廿ｌｅ ｐｒｏｃｅｓｓ １ｉｓｔ觚ｄ ａ １ｉｓｔ ｏｆ ｋｅｙ丘１豁硒ｄ ｐｒｏｖｉｄｅ

ｃｏｎ矗ｇｕｒａｔｉｏｎ劬嘶ｏｎａｌｉ饥锄ｄ ｄｉＳｐｌａｙ ｍｅ １０９ ｉｎｆｏ咖ａｔｉｏｎ硪ｅｒ ｆｉｌｔｅｒ ｏｐｅｒａ矗ｏｎｓ．瑚ＰＳ

ｍｏｄｕｌｅ ｉｓ ｔ１１ｅ ｃ０∞ｍｏｄｕｌｅ删ｃｈ ｉｓ ａ ｌｉｎｌｌＸ ｋｅｍｅｌ ｌｏａｄａｂｌｅ ｍｏｄｕｌｅ，ｄｙｎ锄ｉｃ １０ａｄｉｎｇ

ｂｅｔ、）ｌ，ｅｅｎ ｔ１１ｅⅥ７Ｓ锄ｄ ｕ１１ｄ甜ｙｉｌｌｇ丘１ｅ ｓ），ｓｔ锄．，ａｃＣ０ｆｄｉｌｌｇ ｍｅ ｍ０１１ｉｔｏ血ｇ ｉｎｆｏｎｎ撕０ｎ ｔｏ

Ⅱ
 ＡＢＳＴＲＡＣＴ

ｆｉｌｔｅｒ ａ１１ ｆｉｌｅ ｏｐｅｒａｔｉｏｎｓ；ｃｏｍｍｕｎｉｃａｔｉｏｎ ｍｏｄｕｌｅ ｐｒｏＶｉｄｅｓ ｍｅ ＭＦＳ ｍｏｄｕｌｅ ａＩｌｄ ｍｅ ｕｓｅｒ

ｍｏｄｕｌｅ ｄａｔａ ｃｏｍｍｕｌｌｉｃａｔｉｏｎ，也ｅ ｍｏｄｕｌｅ ｐｅｃｉｆｉｅｄ ｂｙ ｍｅ ｕｓｅｒ ｐｒｏｃｅｓｓ ａＩｌｄ ｔｌｌｅ ｋｅｙ ｆｉｌｅｓ

ｉｎｆｏｎｎａｔｉｏｎ ｐａＳｓｅｄ ｔ０ ｔｌｌｅ ＭＦＳ ｍｏｄｕｌｅ缸ｄ也ｅ ｍｏｄｕｌｅ、析１１ ｇｅｔ ｌｏｇ ｉｎｆ０册ａｔｉｏｎ ｗ１１ｉｃｈ

ＭＦＳ ｍｏｄｕｌｅ ｆｅｅｄｂａｃｋ ｔｏ ｔ１１ｅ ｕｓｅｒ ｍｏＩｌｉｔｏ曲ｇ ｍｏｄｕｌｅ．Ｔ协ｓ ｄｅｔａｉｌｅｄ ｄｅｓ嘶ｐｔｉｏｎ ｏｆ ｅａｃｈ

ｍｏｄｌｌｌｅ证ｔｈｅ ｄｅｓｉｇｎ ａｎｄ ｉｎｌｐｌ锄ｅｎｔａｔｉｏｎ．

Ｋｅｙｗｏｒｄｓ：ＭｏＩｌｉｔｏｒ，Ｆｉｌｅ Ｓｙｓｔ锄，Ｋ锄ｅｌ Ｌｏａｄｅｒａｂｌｅ，Ⅻ７Ｓ

ＩｌＩ
 目录

目 录

第一章引言………………………………………………．１
１．１研究背景………………………………………………．．１
１．２国内外发展和研究现状……………………………………．２
１．３课题的研究内容和实现目标…………………………………．３

１．４论文组织结构……………………………………………．４

第二章文件系统的相关技术…………………………………．．５
２．１ ＬＩＮＵＸ体系结构…………………………………………．．５
２．１．１ ＬＩＮＵｘ内核的主要子系统…………………………………７
２．２虚拟文件系统（ＶＦＳ）………………………………………７
２．３文件系统的通用文件模型……………………………………９

ＶＦＳ的基本对象类型…………………………………．．１０
２．３．１

２．３．２文件系统相关的其他数据结构…………………………．．１４
２．３．３文件系统的操作……………………………………．．１６
２．４文件系统监控技术的介绍…………………………………．１７
ＩＮｏＴＩＦｌ『机制…………………………………………１８
２．４．１

２．４．２拦截系统调用技术……………………………………１９
２．４．３两种监控技术的分析…………………………………．．２２
２．５ ＳＴＡＣＫＡＢＬＥ ＦＩＬＥＳＹＳＴＥＭ……………………………………２２
２．５．１ ＳＴＡｃＫＡＢＬＥ ＦＩＬＥＳＹｓＴ跚介绍………………………．．：……．２２
２．５．２ ＳＴＡｃＫＡＢＬＥ ＦＩＬＥＳＹｓＴＥＭ自秉．理………………………………．．２４
２．６ ＬＫⅥ实现ＳＴＡＣＫＡＢＬＥ ＦＩＬＥＳＹＳＴＥＭ……………………………．２８
２．７ ＬＩＮＵＸ下用户空间与内核空间数据交换的方式…………………．２８
２．８本章小结………………………………………………３１

Ⅳ
 目录

第三章系统设计…………………………………………．．３２
３．１系统需求………………………………………………３２

３．２系统设计………………………………………………．３２
３．２．１系统结构…………………………………………．．３３
３．２．２系统的数据流程……………………………………．．３５
３．３用户监视模块的设计………………………………………３７

３．３．１关键文件配置流程设计…………………………………３８
３．３．２进程信息列表例程设计…………………………………３８
３．３．３日志处理例程的设计…………………………………．．３８
３．４ ＭＦＳ模块的设计…………………………………………．３８

３．４．１关键文件控制例程的设计………………………………．４０
３．４．２进程信息管理例程的设计………………………………．４１
３．４．３文件操作过滤例程的设计………………………………．４１
３．５通信模块的设计…………………………………………４２
３．５．１ ＰＲ０ｃ通信子例程的设计…………………………………４２
ＭＭＡＰ通信子例程的设计…………………………………４３
３．５．２

３．６模块之间的接口设计……………………………………．．４３
３．６．１外部接口……………………………………………４３
３．６．２内部接口……………………………………………４３
３．７本章小结………………………………………………．４５

第四章系统实现…………………………………………．．４６
４．１用户监视模块的实现……………………………………．．４６
４．１．１进程信息展示功能……………………………………．４６
４．１．２日志展示功能………………………………………．．４７
４．１．３配置功能……………………………………………４７
４．２ ＭＦＳ模块的实现…………………………………………．４７

４．２．１配置关键文件功能实现流程……………………………．．４７
４．２．２配置进程信息功能实现流程……………………………．４８

Ｖ
 目录

４．２．３过滤文件操作功能实现流程……………………………．．４８
４．３ ＭＦＳ的数据结构实现……………………………………．．４８

４．３．１ ＭＦＳ的ＩＮｏＤＥ结构……………………………………．．４９
４．３．２ ＭＦＳ的ＤＥＮＴＲＹ结构……………………………………．４９
ＭＦＳ的ＦＩＬＥ结构………………………………………５０
４．３．３

４．３．４髓Ｓ数据对象存在的问题………………………………．５１
４．４ ＭＦＳ的方法实现…………………………………………．５２
４．４．１注册和注销ＭＦＳ文件系统………………………………５２
４．４．２挂载和卸载ＭＦＳ文件系统………………………………５３
４．４．３过滤文件操作………………………………………．５４
４．５通信模块的实现…………………………………………５８

４．５．１从用户空间传递数据…………………………………．．５８
４．５．２从内核空间传递数据…………………………………．５８
４．６本章小结………………………………………………５９
第五章系统测试…………………………………………．．６０

５．１测试环境………………………………………………６０
５．２将ＭＦＳ文件系统挂载到内核中………………………………．６０
５．３功能测试………………………………………………６１

５．３．１监控操作的测试……………………………………．．６１
５．３．２控制操作的测试……………………………………．．６２
５．３．３功能测试总结………………………………………．６３
５．４性能测试………………………………………………６３
５．４．１读文件测试…………………………………………６３
５．４．２写文件测试……．ｊ………………………＾………．６４
５．４．３性能测试总结………………………………………．６４
第六章总结与展望…………………………………………６５
６．１总结…………………………………………………．６５
６．１．１缓存一致性…………………………………………６５

Ⅵ
 目录

６．１．２锁机制……………………………………………．６６
６．１．３内核支持…………………………………………．．６６
６．２展望…………………………………………………．．６６
致谢…………………………………………………．．６７
参考文献…………………………………………………６８

ＶⅡ
 第一章引言

第一章引言

本章介绍课题的研究背景，介绍国内外发展和研究的现状，以及本课题的研

究内容和实现的目标，最后介绍了本篇论文的组织结构。

１．１研究背景

随着计算机技术的不断进步，２１世纪早已经迈入了信息时代，互联网快速的
发展正在以惊人的速度改变着世界，同时也带来了各种各样的安全问题。２０１０年

伊始，国际经济形势进入一个在动荡中恢复的阶段；国内外各种政治势力在激烈
的政治斗争中不断地把信息安全问题推向政治舞台的中心；包括云计算、３Ｇ应用

与移动网络、手机移动支付、Ｉ江Ｄ技术应用与安全、面临破解挑战的某些国外

商业密码技术、国家和公众对于网络的安全与信息净化的要求等等一系列信息化
应用新概念、新技术、新应用、新问题。这些问题给信息安全行业不断地提出新
的挑战。可以说，中国信息安全领域在进入本世纪新的第二个十年伊始，进入了

一个充满全新的挑战与机遇并存的时代。
信息的安全已经成为困扰信息社会的一大难题，保护数据的安全成为信息社

会的一大挑战。计算机系统的数据的危险来自于多方面，有操作系统的漏洞、网
络协议的缺陷以及应用程序存在的漏洞，更多非法的恶意攻击，僵尸网络、木马、

拒绝服务攻击的泛滥，给我们的信息安全敲响了警钟。在世界范围来看，黑色产
业链越来越成为焦点，据统计，我国的木马产业链已经达到了上百亿。黑客技术

的炫耀开始与经济利益越绑越紧；与此想对应，僵尸网络、木马等变得越来越活

跃，而一般性质的蠕虫，尤其是大规模蠕虫则相对比过去暗淡了许多；又有机会
没有遇到太多法律上的对抗，导致黑客对网页的攻击越来越泛化，例如前阵子百
度网站因域名被非法劫持而导致全球多处用户不能正常访问。

在互联网应用与普及方面我国已经进入了世界大国的行列，因此我国的信息
安全问题与国际上的问题基本接轨。我国每年被黑的网页在１０万个数量级左右，

钓鱼网站数量占世界总量的比例偏高，位于我国的僵尸网络的肉鸡数量位于世界
的前列，拒绝服务攻击的受害数量非常庞大。

由于信息安全威胁日益复杂多变，同时用户对安全提出更高的要求，如能借
 电子科技大学硕士毕业论文

助云计算技术，实现大范围的监控分析，进而实时响应，如告警通知、特征升级
等，最终提高对网络攻击、病毒／木马、钓鱼诈骗等网络威胁的响应速度。目前如

ＩＰｓ加ＴＭ、防病毒软件／网管、终端安全等产品可使用该类服务，还需研究如何应
用到数量更多的老设备如防火墙上。

在信息安全问题日益严峻的背景下，数据作为信息安全存储的核心，应该得
到更多的关注。主流的文件系统都如ＮＦＳ和Ｃｏｄａ都提供了相应的安全保护机制，

它们对用户的进行身份认证和授权，并可以选择使用安全通道传输数据。但是大

部分文件系统的设计都基于这样的一个前提：服务器在安全上是可信任的。所以
数据在服务器上大多都是以明文的形式存放、传输，从而导致了很多安全事故，
很多企业的服务器都因为数据被窃取而遭受巨大的损失。

文件系统的监控技术是数据安全存储的重要组成部分，负责监控文件系统的
一切行为动作，过滤非法进程对关键文件的非法操作，从而保护数据的安全性，

然而主流的文件系统被没有提供这种管理机制，同时用户也无法根据自己需要的
的安全应用需求来选择监控方式。

１．２国内外发展和研究现状

计算机的监控技术起源很早，到现在已经有了长足的发展和广泛的应用。早

在ＤＯＳ普及的时候就已经有相应的应用了。早期的磁盘写保护软件就是利用了监
控的技术。磁盘写保护软件是将自己的代码驻留在ＤＯＳ系统无法访问扇区，这些

扇区是从０磁头Ｏ柱面１扇区开始，共６４个，它修改了ＤＯＳ的主引导扇区（ＭａＬｓｔｅｒ
Ｂｏｏｔ Ｒｅｃｏｒｄ），当ＤＯＳ系统启动的时候，磁盘写保护的代码获取系统的控制权利，

然后修改了ＢＩＯＳ的读写磁盘的中断向量函数，即ＩＮＴｌ３号中断向量函数，这样
驻留在内存中的钩子代码可以随时截获对磁盘的所有操作，进而监控对磁盘的操

作，从而可以实现对某一磁盘区域的监控与保护。后来在磁盘写保护的基础上又
诞生了磁盘恢复卡等产品，然而其核心仍是对磁盘读写操作的监控技术。

由于在用户空间是能访问内核中系统的操作，所以应用程序的手段是无法实
现监控功能，监控技术都使用了内核驱动技术，由运行在内核空间的内核代码截

获所有的对文件系统的操作。核心技术就是驱动模块挂钩于文件操作之上，对所
有的文件操作（读、写、打开、修删除等）都进行实时监控。ＤＯＳ的ＴＳＲ【４６】（终止并
等待驻留Ｔｅｍｌｉｎａｔｅ锄ｄ Ｓｔａｙ Ｒｅｓｉｄｅｎｔ），是一种通过驻留并截获磁盘操作的中断来
实现特定需要的程序。ｗ协ｄｏｗｓ下可以通过从拦截内核模块ＮＴＯｓｌ（Ｉ蝌Ｌ．ＥＸＥ的

２
 第一章引言

系统调用，截获对文件系统的所有操作，来达到监控文件系统的目的。“ｎｕｘ ２．６．１３

内核引入了文件系统变化的通知机制ｉｎｏｔｉ矽，它监控文件系统操作的相关事件，
并且及时向上层监视的应用程序发出相关的事件警告，比如读、写、删除文件等

操作，还可以跟踪活动的源头和目标等相关细节。
目前国内外的监控软件有很多，比较流行的有以下几种：
ＦｉｌｅＭｏｎ（Ｆｉｌｅ Ｍｏ砷－０ｒ）是ｓｙｓｎｅｎｌａｌ出品的一个出色的文件系统监控软件，可
以监控内存当中的应用程序对磁盘进行读写操作活动，能单独设定对某个磁盘进
行监控，可以自定义过滤机制。通过它可以看到程序使用的所有文件和ｄ１１，甚至

能够捕捉到系统和程序的配置问题。它可以记录与文件相关的所有操作（读、写、
操作等）信息都记录下来，并提供对信息进行查找、过滤、保存等功能，给用户提

供了很大的便利。

Ｒｅ舯ｏｎ是一个注册表数据库监控工具，它显示并记录所有与注册表数据库
操作相关的信息（如读取、修改、出错信息等），并全部记录下来供用户参考，并
允许用户对记录的信息进行查找、过滤、查找等处理，这为用户对系统的维护提

供了便利。
Ｐｒｏｃｅｓｓ Ｍｏｌｌｉｔｏｒ是一个用于Ｗｉｎｄｏｗｓ的高级监视工具，可以显示实时文件

系统、注册表和进程／线程活动。它结合了两个传统ｓｙＳｉｎｔｅｎｌａｌｓ实用工具
（Ｆｉｌｅｍｏｎ和Ｒｅ舯ｏｎ） 的功能，并增加了大量增强功能，其中包括丰富且不具
破坏性的筛选功能、全面的事件属性（如会话Ｄ和用户名）、可靠的进程信息、

完整的线程堆栈（支持每个操作的集成符号）、同一文件并行日志记录等功能。异

常强大的功能使Ｐｒｏｃｅｓｓ Ｍｏｌｌｉｔｏｒ成为系统故障排除和恶意软件捕获工具包的核
心实用工具。
１ｗａｔｃｈ是一个ＬｉｎｕＸ平台下用来实时监控文件系统变化的工具，它将文件系

统的变化快速的发给管理员。１ｗａｔＣｈ是基于１ｉｎｕ】【２．６．１３新增的ｉｎｏ石ｆ３，机制的，它
的核心功能是允许应用程序对一个事件列表的一组文件的监控，并把这些改变通

知给用户。

１．３课题的研究内容和实现目标

目前１ｉｎｕｘ平台下通常采用的对文件系统监控的技术主要是挂钩系统调用，

通过在用户模式下挂钩ｒｅａｄＯ、ｗ订ｔｅＯ、ｏｐｅｎＯ等文件操作的系统调用来监控对文
件的访问，但是这种方式有一些缺陷。①１凇．４．１８以后不再导出系统调用表
３
 电子科技大学硕士毕业论文

ｓｙＳ ｃａｌｌ ｔａｂｌｅ，虽然可以通过读／ｄｅ训锄锄设备文件得到它的地址，来实现系统调

用的劫持，但是这样会给安全埋下隐患。②劫持系统调用，需要先跳转到自定义
的函数，然后再调用原来的函数。这种方法的缺点是在多线程环境下不健壮。本

文采用的技术是内核模式的驱动，将附在ＥＸＴ３、Ｉ也ＩＳＥＩ讧Ｓ等文件系统之上对文
件系统进行监控。相比挂钩系统调用的缺点，还具有实时性、高效性和安全性等
特点。

针对当前ＬｉＩ眦文件系统的文件系统监控软件的不足，本文主要内容是设计
并实现一个ＩｊｎｕＸ平台下的文件系统监控系统，研究的内容和成果将主要包括以
下几个方面：

１．研究“ｎｕＸ内核的系统结构，特别是“ｎ＿ｕ）【文件系统，包括ＶＦＳ和下层

文件系统之间的操作流程。

２．研究“ＩｎⅨ的流行的文件系统监控技术，如ｉｎｏｔｉ匆、挂钩系统调用等，并
提出了一种新的监控方式ｓＦＳ（ｓｔａＣｋａｂｌｅ ＦｉｌｅＳｙｓｔ锄），它提供了一种更加灵活、高效
的监控方式。

３．设计并实现了一个具有可扩展性文件系统ＭＦＳ（Ｍｏ血ｔｏｒ ＦｉｌｅＳｙＳｔｅＩｌｌ），在此
文件系统基础上可以提供文件操作过滤等相关功能。

４．对系统进行测试、优化以及对存在的问题进行分析并提出解决方案，为以
后的扩展奠定基础。

１．４论文组织结构

本文共分为６章，各章节的内容如下：
第一章主要介绍本课题的研究背景，国内外发展和研究现状。

第二章主要介绍Ｌｉｌ眦的通用文件模型，并介绍当前几种文件系统开发技
术，重点介绍了本系统采用的Ｓｔａｃｋａｂｌｅ ＦｉｌｅＳｙｓｔｅｍ技术和ＬⅪ订等相关技术。

第三章介绍了系统的具体设计，提出了系统的整体架构和各个子功能模块的
设计。

第四章主要介绍了系统的各个子功能模块的详细实现。
第五章对ⅧＳ文件系统进行了功能和性能的测试。
第六章对全文进行总结，分析并指出本文工作的不足，指出本论文研究还需
要进一步完善的地方。

４
 第二章文件系统的开发技术

第二章文件系统的相关技术

相比于一般的应用软件，文件系统的监控软件是处于系统的低层，需要对操

作系统以及文件系统有一定的了解和研究，因此实现ＬｉＩｌｕＸ平台下的监控软件首

先要对ＬｉｌｌｌｌＸ内核的系统结构以及文件系统有全面深入的了解。
本章先介绍“ｎｕＸ文件系统的相关知识，然后介绍并讨论当前流行的各种监
控技术，对比选择合适的文件系统开发方式。

２．１ Ｌ ｉ ｎｕ×体系结构

本文提出的监控文件系统是在Ｌｉｎｕ】【平台下完成的。ＬｉｎｕＸ操作系统是免费
的多用户多任务操作系统，相比于其他的操作系统，Ｌｉｎｕｘ的稳定性、多任务处

理能力以及网络功能让很多操作系统望其项背，而Ｌｉｎｕｘ的源代码开源，更是学
习和研究操作系统的首选。与其他操作系统相比，Ｌｉｎｕ）【还具有以下特点【１】：

①稳定性。“ｎ＿ｕ）【操作系统的架构完全沿袭了ＵＮⅨ的系统架构，所以先天
就具有成熟稳定的特点。

②安全性。“ｎｕ）【在设计的时候就针对多用户环境，对系统文件和用户文件
的权限都做了明确的区分，每个文件都有不同的用户属性，从而限制了非法用户

的访问和误操作。

③支持不同类型的文件系统，如ＬｉｎｕＸ平台下的ＥＸＴ３、Ｗｉｎｏｄｗｓ平台下的
ＦＡ＝ｒ３２以及网络文件系统ＮＦＳ等。

④由于其源代码９０％以上是用标准Ｃ语言实现的，不到１０％的由汇编语言实
现，所以ＬｉｎｕＸ系统具备良好的移植性。

Ｌｉｌｌｕ）【内核实现了很多重要的体系结构属性，在或高或低的层次上，内核被
划分为多个子系统。Ｌｉｎｕｘ也可以看作是一个整体，因为它是宏内核，将所有的

基本服务都继承在内核中。
ＬｉｎｕＸ内核体系结构包括４部分：应用程序，系统内核，系统服务，硬件。

图２．１是一个简化的ＬｉＩ懈内核体系结构图【ｌ】ｏ
 电子科技大学硕士毕业论文

用户程序｜． 一 、

标准库
用户态
ｔ
Ｉ

， ｌ
内核卷 系统调用

￡ ｌ占
Ｉ
义仟丁承玩
。
人 进程阃通信
ｌ ｌ ＼
高速缓存Ｉ ＼ 进程控制 谰度程序
予系统
； 善
字符设备Ｉ块设备 存储管理
： ｌ
设备驱动程序ｌ
王 ，

硬件控制
内孩态 ｔ
ｌ

硬梓缀

硬件

图２－ｌＩ．ｊ玎ｕｘ内核体系结构图

从图中可以看到三个不同的层次：用户层、内核层及硬件层，从中我们可以
分析得到三个层次之间的关系，以及各个子系统之间的关系。

１）用户程序通过标准库接口调用了系统调用进入内核，而汇编语言程序可以
不经过标准库而直接引用系统调用。

２）文件子系统使用一个缓冲机制来存取文件数据，缓冲机制缓解在内核与二
级存储设备之间的数据流的速度不匹配。缓冲机制与块Ｉ／Ｏ设备驱动程序交互，
而字符设备是不需要缓冲的。

３）进程控制子系统负责进程同步、进程间通信及进程调度。进程子系统在执
行一个可执行文件之前，把它读到内存中，进程调度模块把空闲的ＣＰＵ分配给该

进程，该模块调度各进程依次运行，知道它们因等待资源自愿放弃ＣＰＵ，或它们

６
 第二章文件系统的开发技术

最近一次的运行时间超过一个时间量，从而内核抢占它们，于是调度程序选择最

高优先权的合格进程投入运行。进程间通信模块负责不同进程之间的数据传输；
进程同步模块处理有逻辑关系的进程。

４）存储管理模块控制存储分配。当系统中没有足够的物理存储供进程使用

时，内核就在主存和二级存储（一般为磁盘）之间对存储数据进行换出操作，以便
进程公平的得到系统的内存资源。

５）硬件控制负责处理中断及设备通信。
Ｌｉｌｌ．ｕ）【内核拥有５个主要的子系统，其中构成一个操作系统的最重要部分莫

过于进程管理和文件系统，实际上，有些操作系统有进程管理而没有文件系统，
如嵌入式操作系统；有些操作系统有文件系统而没有进程管理，如ＤＯＳ文件系统。

但是，不存在同时没有进程管理和文件系统的操作系统。

２．１．１ Ｌｉｎｕ×内核的主要子系统

１１进程管理

控制进程对ＣＰＵ的访问，由调度程序选择最值得运行的进程。

２）内存管理
管理内存，提供内存利用率和提高效率。

３）虚拟文件系统
隐藏各种硬件的具体细节，为所有设备提供了统一的接口。

４）网络接口

提供了对各种网络标准的存取和各种网络硬件的支持。
５）进程间通信

支持进程间各种通信机制。
这些子系统构成了内核的最核心的功能。

２．２虚拟文件系统（ＶＦＳ）

Ｉ．ｊｎｕ）【成功的关键因素之一是它与许多操作系统的不同类型的文件系统和谐
共存的能力，前提是该文件系统可以被ＬｉｎｕＸ识别。我们可以透明在ＬｉＩｌｕＸ某个

目录下挂载其他操作系统的文件格式的磁盘或分区，把各种不同文件系统的操作
和管理纳入到一个框架中，为其提供统一的文件操作接口，即虚拟文件系统，也

可以称之为虚拟文件系统转换ＶＦｓ（ｖｉｒｎｌａｌ Ｆｉｌｅｓｙｓｔｅｍ ｓｗｉｔｃｈ）【１１。虚拟文件系统是

７
 电子科技大学硕士毕业论文

一个内核软件层，用来处理与ＬｉｎｕＸ文件系统相关的所有文件系统调用，其健壮

性表现在能为各种不同的文件系统格式提供一个通用的接口。
ＶＦＳ是位于具体的文件系统之上的抽象层，该抽象层主要由一组标准的、抽

象的文件操作构成，这样就可以对用户程序隐藏各种不同的文件系统的实现细节，
为用户程序提供～个统一的、虚拟的文件系统操作界面。

ＶＦＳ实现了所有的文件系统的相关操作，用户程序可以文件操作，如ｒｅａｄ（）、

、砌ｔｅＯ、１ｓｅｅｋ（），调用相关的系统调用，然后转发到Ⅵ？ｓ操作流程中。而大部分文
件的系统调用并不是由ＶＦＳ操作来完成，都需要被转发到下层具体的文件系统来
实现。如果我们形象的把内核比做一块主板，把ＶＦＳ比做主办上的一个插槽，那

么每个具体的文件系统就插槽上的一块接口卡，不同的接口卡有不同的电子线路，
但是它们与插槽的连接线路都是有明确定义的。同样，不同的文件系统通过不同

的函数来实现其各种功能，但是于ＶＦＳ之间的界面也是有明确定义的，这就是

ｆｉｌｅ－ｐｐｅｒａｔｉｏｎｓ数据结构中所定义的，该结构体定义于＜ｉｎｃｌｕｄ朝ｉｎｕｘ／ｆｓ．ｈ＞文件中。
图２．２给出了ＶＦＳ与下层文件系统之间的关系。

文件系统摄ｆ１
用户进程 用．包括憎ｄｆ
用户空■ 锿

１
一 １ｆ 一
’

｛｝
、，ＦＳ

～‘。０１ ‘
‘期越ｍｔ结构。
钟安现具体＿

． ｔ ｒ ：
’ 一

Ⅱ ：ｔ ｊ１ ： ｊ１ ： Ⅱ
彩∥
Ｅ脚 ＦＡＴ３２ ｍ 设备文件

≤≮逸． 丝
鼬

图２．２ ＶＦＳ模型
 第二章文件系统的开发技术

ｖＦＳ支持的文件系统类型可以分成三种【ｌ】：

１）磁盘文件系统。这些文件系统在本地磁盘或者其他可以磁盘作用的设备中
有可用的存储空间（比如ＥＸＴ３、ＮＴＦＳ、ＵＳＢ闪存等）。
２）网络文件系统。这些文件系统允许访问属于网络中的其他计算机的文件系

统所包含的文件。虚拟文件系统所支持的一些网络文件系统有：ＮＦＳ、ＣⅢＳ、ＮＣＰ
诂
｛｝ｏ

３）特殊文件系统。这些文件系统没有本地的或远程存储空间，而以一种特殊

的方式存在。ｐｒｏｃ和ｓｙｓｆＳ就是存在于内存之中的一种特殊文件系统。
本文阐述的文件系统监控是基于磁盘文件系统，对网络文件系统和特殊文件
系统将不做过多描述。

２．３文件系统的通用文件模型

ｖＦＳ所隐含的主要思想在于引入一个通用的文件模型（ＣｏｎＨｎｏｎ Ｆｉｌｅ

Ｍｏｄｕｌｅ）【ｌ】，这个模型能够表示所有Ｌｉｎｕ）【支持的文件系统。从本质上说，ＬｉｎｕＸ

内核不能对一个特定的函数进行硬编码来执行诸如ｒｅａｄ（）和ｉｏｃｔｌ（）这样的操作，而
是对每个操作都必须使用一个指针，指向要访问的具体文件系统中对应的函数。

每个具体的进程在访问一个文件的时候，都会为该文件在内存中创建一个丘ｌｅ对
象，该对象有一个ｓ仃ｕｃｔ ｆｉｌｅ ｏｐ酬ｉｏｎｓ ｆ ｏｐ的字段，该字段中包含一些指向具体
的文件系统的函数指针。每个文件系统实现了自己的ｆｉｌｅ ｏｐｅｒａｔｉｏｎｓ数据结构，结
构中的成员几乎全部都是函数指针，所以这个结构体实际上是个函数跳转表，通

过对该指针的操作，跳转到相应的具体的文件操作函数中，如果该文件系统不支
持某个文件操作，那么ｆｉｌｅ ｏｐｅｒａｔｉｏｎｓ结构中的相应函数指针就是ＮＵＬＬ。比如在

ＥｘＴ３文件系统上执行读操作ｒｅａｄ（），该操作就执行ｓｙｓ＿』ｅａｄ（）系统调用，然后通
过ＶＦｓ接口ｖｆＳ ｒｅａｄ（）转发到下层具体操作系统的实现该功能的例程，并调用驱

动程序，从磁盘读取文件数据，这样一来应用程序的通用接口ｒｅａｄ（）函数就被转

化为对具体文件操作的实现：ｒｅａｄＯ一＞ｓｙＳｊｅａｄＯ－＞Ｖｆ．ｓ．』ｅａｄ（）－＞ｆｉｌｅ－＞￡－０ｐ一＞ｒｅａｄＯｐｊ。，
对于ＥＸＴ３文件系统而言，矗ｌｅ中ｆ ｏｐ的ｒｅａｄ指针对应的是ｅｘｔ３ ｒｅａｄ（）函数，结
构体丘ｌｅ ｏｐｅｍｔｉｏｌｌｓ是在系统引导的时候初始化的，或者通过内核可加载模块动态
加入到内核的时候初始化的。

通用文件模型是面向对象的，不仅需要定义数据结构也需要定义方法，但是，
出于效率的考虑，Ｉ．ｊｎｕＸ内核并没有采用面向对象的程序设计语言来编写实现（比

９
 电子科技大学硕士毕业论文

如Ｃ抖）。因此在ＬｉＩｍＸ内核中，对象用Ｃ的结构体来实现，结构体中指向函数的
指针字段对应着对象的方法。

图２．３给出了该函数的执行流程。

图２－３体在一个简单的ｒｅａｄ（）操作中的作用

２．３．１

１）
超
含了文
 第二章文件系统的开发技术

通用文件模型无关的数据。通用文件模型的超级块对象是在文件系统在安装的时

候建立的，并在这些文件系统卸载的时候自动删除。对基于网络的文件系统，这
类对象是在文件系统挂载的时候产生的，只存在内存中，没有磁盘映象；对基于

磁盘的文件系统，这类对象一般存放在磁盘的文件系统的控制块中（ＦＣＢ）。
超级块对象定义与＜１ｉｎｕＸ／ｆｓ．ｈ＞中，主要数据结构如表２．１所示，表格中仅列

出比较重要的项。

表２－１ ｓｕｐ哆ｊｌｏｃｋ结构体主要项

ｓ仃ｕｃｔ ｌｉｓｔ ｈｅａｄ ｓ ｌｉｓｔ 指向超级块链表的指针

ｕｎｓｉｇｎｅｄ ｌｏｎｇ ｓ ｂｌｏｃｋｓｉｚｅ 以字节为单位的块大小

ｓｔｎｌＣｔ ｆｉｌｅＬ．Ｓｙｓ仃１１ｅｊｙｐｅ卡 ｓ＿却ｅ 文件系统类型
Ｓ乜１ｌＣｔ ｓ－ｏｐ 操作超级块的方法

Ｓｕｐｅｒ．＿ｏｐｅｒａｔｉｏｎｓ木

ｓ缸ｕｃｔ １ｉｓｔ ｈｅａｄ ｓ ｉｎｏｄｅｓ 所有索引节点的链表

ｓ仃ｕｃｔ ｄｅｌｌ姆木 Ｓ Ｉ．ｏＯｔ 根目录的目录项对象

ｉｎｔ Ｓ ｃｏＵｎｔ 引用计数

ｓｔｍｃｔ ｓｅｍａｐｈｏｒｅ ｓ １０ｃｋ 超级块信号量

从表中可以看到，超级块中最重要的域无疑是ｓ ｏｐ【ｌ】，表示超级块对象的函
数操作表。超级块中的操作表用结构体Ｓｕｐｃｒ ｏｐｅｒａｔｉｏｎｓ来表示，定义于
＜ｌｉｎ耐盘．ｈ＞中，结构体中的每一项都是一个函数指针，指向一个文件系统已经实
现的操作超级块对象的函数。

Ⅵ：Ｓ通过超级块的操作表来对转发对超级块的某项操作，跳转到对应的具体
方法中。如在通用模型下，读取ＥＸＴ３文件系统的超级块的操作ｒｅａｄ ｓｕｐ呶），通

过操作表ＳｂｐＳ＿ｏｐ＞ｒｅａｄ』ｕｐｅｒ０转发到具体的读取操作ｅＸｔ３—『ｅａｄ』ｐｅｒＯ。
２）索引节点对象‘１１（ｉ１１０ｄｅ）
Ｉｎｏｄｅ对象在内核中代表一个文件或目录，存放着关于这个文件或目录的具
体信息。每个索引节点对象都有一个索引节点号，这个节点号唯一地标识一个文

件系统中的文件。不是所有的文件都有ｉｎｏｄｅ的概念，但是ⅦＳ作为一个通用
模型，在操作没有ｉｎｏｄｅ对象的文件系统的时候，会临时生成一个ｉｎｏｄｅ对象，
以便提供统一的通用接口，不过会带来一些性能的损耗。

Ｉｎｏｄｅ对象定义在＜１ｉｎｕ）【／自．ｈ＞中，主要数据结构如表２－２所示，表格中仅列出
重要项。
 电子科技大学硕士毕业论文

表２．２ｉ１１０ｄｅ结构体主要项

ｕｎｓｉｇｎｅｄ ｌｏｎｇ ｌ １ｎ０ 索引节点号

ｕｉｄ ｔ ｉ ｕｉｄ 所有者标识符

百Ｕ ｉ』ｄ 组标识符

ｕｎｓｉ盟ｅｄ １０ｎｇ ｉ ｂｌｏｃｋｓ 文件的块数

ｕｍｏｄｅ ｔ ｉ ｍｏｄｅ 文件类型与访问权限
ｓ饥１ｃｔ ｉｎｏｄｅ』）ｐｅｒａｔｉｏｎｓ宰 １－０ｐ 索引节点的操作表
ｓ仃ｕｃｔ ｆｉｌｅ－－ｏｐｅｒａｔｉｏｎｓ奉 ｉ－ｆ．ｏｐ 缺省文件操作
ｖｏｉｄ奉 ｕ・ｇｅｎｅｎｃ＿ｌｐ 私有域数据
ｓ觚ｌｃｔ ｔｉｍｅｓｐｅｃ ｉ ａｔｉｍｅ 上次访问文件的时间
ｓ仇ｌｃｔ ｔｉｍｅｓｐｅｃ ｉ ｍｔｉｍｅ 上次写文件的时间
ｓ仃ｕｃｔ ｔｉｍｅｓｐｅｃ ｉ ｃｔｉｍｅ 上次修改索引节点时间
ａｔｏｍｉｃ ｔ ｉ ｃｏｕｎｔ 引用计数

与ｓｕｐｅｒ ｂｌｏＣｋ对象类似，ｉｎｏｄｅ的操作表是ｉｎｏｄｅ ｏｐｅｒａｔｉｏｌｌｓ定义ｉ ０ｐ字段，

它是对ｉｎｏｄｅ操作的函数跳转表，任何对ｉｎｏｄｅ的操作都是通过该操作表来进行转
发，跳转到具体的ｉｎｏｄｅ操作函数中实现。

３）文件对剩１１（ｆｉｌｅ）
文件对象表示一个已经被进程打开的文件，存放打开文件与进程之间当前正
在进行交互的有关信息，因此与一个文件仅有一个ｉｎｏｄｅ不同的是，进程每次调用

ｏｐｅｌｌ（）系统调用，都会产生一个文件对象。该对象信息仅当进程访问文件期间存
放于内核内存中，而不存放在磁盘介质上。

ｆｉｌｅ对象定义于＜１ｉｎｕＸ／ｆｓ．ｈ＞中，主要数据结构如表２．３所示，表格中仅列出
重要项。

表２．３ ｆｉｌｅ结构体主要项

ｓ觚ｃｔ ｄ咖奉 ￡＿ｄｅｎｎ．ｙ 文件相关的目录项对象

Ｓｎ似 ｔ叩 文件操作函数操作表

ｆｉｌｅ－０ｐｅｒａｔｉｏｎｓ宰

ｌｏｌｊＦ ｔ ｏｏｓ 当前的文件位移量

ｓ缸】Ｃｔ ａｄｄｒｅｓ等－ｓｐａｃｅ宰 ￡ｍａｐｐｉｎｇ 页缓存映射

ｕｎｓｉ朗ｅｄｉｎｔ ｆ ｕｉｄ 用户的ｕｉｄ

１２
 第二章文件系统的开发技术

ｕｎｓｉｇｎｅｄ ｉｎｔ ￡百ｄ 用户的西ｄ

ｓ仃ｕｃｔ ｖｆＳｍｏｕｎｔ宰 ｆ ｖｆ．Ｓｍｏｕｎｔ 含有该文件的己安装文
件系统

ｍｏｄｅ ｔ ｆ ｍｏｄｅ 进程的访问模式

ｖｏｉｄ牛 ｐ—Ｖａｔｔｄａｔａ 私有域数据

ｆｉｌｅ的函数操作表是丘１ｅ ｏｐｅｒａｔｉｏＩｌｓ定义的ｆ ｏｐ字段，它是文件操作的函数跳

转表，任何与文件操作相关的函数都将通过该操作表来进行转发，跳转到具体的
文件对象操作函数中。

４）目录项对象Ⅲ（ｄ咖）
ｄｅｎ时对象存放与路径有关的有关信息。目录项主要作用方便对文件的查找。
跟矗１ｅ对象一样，ｄｅｌｌ时对象只存在内存中，当ＶＦＳ遍历路径的时候将路径中的
目录或文件分析解析成目录项对象。

结构体ｄｅＩｌ仃ｙ定义于＜１ｉｎｕｘ／ｄｃａｃｈｅ．ｈ＞，主要数据结构如表２．４所示，表格中
仅列出重要项。

表２．４ｄ铋仃ｙ结构体主要项

ａｔｏｍｉｃ ｔ ｄ ｃｏⅦｔ 引用计数

ｓｐｉｌｌｌｏｃｋｊ ｄ １０ｃｋ 目录项对象的自旋锁

ｓ仃ｕｃｔ ｉｎｏｄｅ幸 ｄ ｉｎｏｄｅ 与文件名相关索引节点
ｓ缸ｕｃｔ ｄｅｎ仃ｙ奉 ｄ＿Ｊａｒ铋ｔ 父目录的目录项对象
ｓ饥ｌｃｔ ｄｅｎｔ巧ｏｐｅｒａｔｉｏｎＳ枣 ｄ＿０ｐ 目录项的函数操作表
ｓｔｍｃｔ Ｓｕｐｅｏｂｌｏｃｋ宰 ｄ ｓｂ 文件的超级块对象
ｖｏｉｄ掌 ｄ ｆＳｄａｔａ 私有域数据

ｄ锄缸ｙ的函数操作表是ｄｅｌｌ衄ｒ．ｏｐｅｒａｔｉｏｌｌｓ定义的ｔｏｐ字段，任何与目录项相
关的操作都是通过该操作表来进行转发，跳转到具体的目录项操作函数中实现。

ｄ咖对象是连接矗ｌｅ对象与ｉｎｏｄｅ对象的桥梁。ＶＦｓ在查询文件的时，利用ｄ胁仃ｙ
来逐层解析每一层的路径，从根ｄｅｌｌ仃ｙ或当前的工作ｄｅｌｌ巧查找，根据文件名逐
个匹配，直到找到该文件对应的ｉｎｏｄｅ对象。
这四个主要的对象构成了通用文件模型的主体，对文件系统的操作将转化成

对这四个主要对象的操作。
四者之间的关系可以通过图２４来表示，图中描述了不同的进程打开同一个
文件和不同的文件的情形。
 电子科技大学硕士毕业论文

一４
图２－４进程与Ⅵ？Ｓ的对象之间的交互

由用户进程通过叩ｅ１１０函数来打开一个文件，内核为该文件生成一个ｆｉｌｅ对
象来描述该文件与进程的交互信息；如果该文件已经被打开过，那么该丘１ｅ对象

将于其他的ｆｉｌｅ对象共同使用已经创建好的ｄｅｌｌｔ巧对象，如果没有被打开过，将

为其生成一个ｄ锄仃ｙ对象来描述目录信息，并用ｆｉｌｅ的鲫ｅ１１时指针指向该ｄｅＩｌ仃ｙ
对象；如果该文件之前并不存在，将会根据ｏｐｅｎ（）函数的ｆｌａｇ来决定是否创新一
个新的ｉｎｄｏｄｅ，如果是，则生成一个新的ｉｎｏｄｅ对象，如果不是，当没有找到该文

件对应的ｉｎｏｄｅ的话，表明打开一个无效的文件，函数返回。由ｄ咖的ｄ－ｊ１１０ｄｅ
指针指向ｉｎｏｄｅ对象。

２．３．２文件系统相关的其他数据结构

每个文件系统都有一个初始化例程，它的作用是在系统初始化的时候或者通

１４
 第二章文件系统的开发技术

过模块动态加载ＶＦＳ中去，即填写一个：ｆｉｌｅ』ｙｓｔ锄ｊｙｐｅ的数据结构，该数据结
构包含了文件系统的名称以及一个指向对应ＶＦＳ超级块读取例程的地址，描述了
文件系统相关属性和行为。

该类型定义于＜ｌｉ删ｄ蠡．ｈ＞中，丘ｌｅ—ｙｓｔｅｍｊｙｐｅ主要的项如表２．５所示。

ｃｏｎｓｔ ｃ：ｈａｒ枣 ｎ锄ｅ 文件系统的名字

ｉｎｔ ｇｓ－ｎａｇｓ 文件系统的类型
ｓ仃ｕＣｔ ｓｕｐｅｒｊ）１０Ｃｋ宰（宰）０ ｇ＠ 从磁盘读超级块的方法

Ｖｏｉｄ术（幸）Ｏ ｌ【ｉＵ Ｓｂ 终止超级块访问的方法

ｓ由ｍｃｔ ６１ｅＬ－ｓｙｓｔ锄ｊｙｐｅ幸 ｎｅＸｔ 链表的下一项

ｆｉｌｅ－．－Ｓｙｓｔｅｍｊｙｐｅ

所有已向ＶＦＳ注册的文件系统的ｆｉｌｅ』ｙＳｔｅＩＩ】：ｔ），ｐｅ结构形成一个链表【３１。链表

头由ｆｉｌｅ』ｙｓｔｅｍｓ变量指定。图２—５给出了文件系统的链表。

ｎ矗ｍｅ ｎａ盯Ｉｅ ｎ８ｍｅ

纛ｌ哆ｓｙｓｔｅｍｓ
ｒｅ囊《Ｌ．ｓｎｌ姥ｒ（ ｅｘｔ３ ｒｅａｄ－－ｓｕｐｅ“ ｐｒｏｃ ｒｅａｉｌｊｎｐｅｒ（ Ｉｎｌ毫
） ） ＇

ｎｅＸｔ、、
一， ／‘ 霸ｅｘｔ、—一 －＿＿＿—，
／’ ｎｅｘｔ

图２．５文件系统注册链表

当文件系统在ｖＦＳ中注册之后，表明内核可以认识了该文件系统，但是如果
要使用这个文件系统，必须要该文件系统挂载才能使用。把一个文件系统挂载到

一个目录项时要使用一个ｖｆＳｍｏ眦数据结构作为来连接目录项对象，由此来申明
从此目录开始的所有目录和文件都是属于挂载上去的文件系统的。
该结构体定义于＜ｌｉｎｕ）【／ｍｏｕｎｔ．ｈ＞中，ｖｆｓｍｏｕ呲的数据结构的主要项如表２．６

所示。

１５
 电子科技大学硕士毕业论文

表２．６ ｖｆｓｍｏｕｎｔ结构体主要项

ｓｔｒｕｃｔ ｖｆＳｍｏｕｎｔ・ ｍｍ ｐａｒｅｎｔ 上一层文件系统

ｓ缸ｕｃｔ ｄｅｎｔＷ牛 砌Ｌｍｏｕｎ印ｏｉｎｔ 挂载点的ｄｅｎ姆结构
昀ｍｃｔ ｄ豇ｌ缸ｙ宰 埘ｎ￡ｒｏｏｆ 根目录项结构
ｓ仃ｕｃｔ ｓｕｐ呸Ｊｌｏｃｋ宰 ｍｔ Ｓｂ 该文件系统的超级块
ｉｎｔ ｍｎｔ ｎａ簪 挂载参数
ｃｈａｒ宰 Ｉｎｎｔ ｄｅｖｎ锄ｅ 设备文件名

由ｎｍｔ珊ｏｕｎｔｐｏｉｎｔ指向挂载点的ｄｅｌｌ仃ｙ结构，瑚ｎｔ ｒｏｏｔ指向所安装设备上根
目录的ｄｅＩｌ仃ｙ数据结构，这样文件系统和挂载点之间就搭起了一座桥梁。这样，
当文件系统的操作执行到挂载点的时候，就会发现这是文件系统的挂载点，进而

调用与该文件系统相关的操作来实现功能。

２．３．３文件系统的操作

每个文件系统都有自己的文件操作函数。文件系统的索引节点、目录项、文

件对象分别包含了一个函数列表，分别对应于ｓ缸ｕｃｔ ｉｎｏｄｅ』ｐｅｒａｔｉｏｎｓ，ｓ缸ｕＣｔ

ｄｅｎ衄Ｊｐｅｒａｔｉｏｎｓ，ｓ仃ｕＣｔ ｆｉｌ凹ｐ耐ｉｏｎｓ，这三个结构体之中，他们构成虚拟文件系
统ＶＦＳ的界面，所有的具体的文件操作，都要经过这三个函数跳转表进行转发。
图２．６给出了他们与文件系统对象之间的逻辑关系。

１６
 第二章文件系统的开发技术

图２．６文件系统逻辑结构图

当一个进程需要进行文件操作的时候，操作流程就会执行到ｄ－９ｐ、ｏｐ、Ｌｏｐ
这三个函数跳转表进行转发。这三个结构体是具体的文件系统在创建目录项、文
件对象和索引节点的时候已经初始化，已经与具体文件系统操作相关。文件操作

就从Ⅵ，Ｓ通过这三个函数跳转表将文件操作执行流程转发到具体文件系统的操
作。

２．４文件系统监控技术的介绍

目前基于Ｉ，ｉｎｕｘ平台下文件系统监控技术，主要有两种方式，第一种是ｉ１１０ｔｉ匆
机制，第二种是拦截文件操作的系统调用技术。下面分别来介绍这两种技术的原

１７
 电子科技大学硕士毕业论文

理。

２．４．１ ｉ ｎｏｔ ｉ ｆｙ机制

ｈｌｏｔｉ∥３８１是文件系统事件监控机制，包含在已经发布的Ｌｉ肌）【２．６．１３内核中作
为ｄｎｏｔｉ矽的有效替代。ｉｎｏｔｉ矽一种强大的、细粒度的、异步的机制，它满足各
种各样的文件监控需要，不仅限于安全和性能。

事实上，在ｉｎｏｔｉ矽出现之前，存在着一个类似的文件变化通知机制，即ｄＩｌｏｔｉ母
机制，但是该机制存在着许多不足之处： ．

①ｄｎｏｔｉ母需要为每个想监控的目录打开一个文件描述符。当同时监控多个目
录时，就会打开许多的文件描述符，这不仅会消耗大量的系统资源，甚至有可能
达到每个进程的文件描述符数目的最大限制。除此之外，文件描述符会锁定目录，

从而不允许卸载支持的设备，这也有可能存在问题，当监控的对象是移动介质的
目录，那么将导致无法卸载这些文件系统。

②ｄｎｏｔｉ匆粒度更大。ｄｎｏｔｉ匆是基于目录级别的，只能监控目录的变化。而
想通过目录事件来得知哪个文件变化了，需要缓存许多ｓｔａｔ结构的数据。首先为

每个被监控的目录申请一个ｓｔａｔ结构，用于不同时刻目录状态的对比，从而发现
目录中哪个文件发生了变化。

③ｄｎｏｔｉ匆的接口不友好，它使用了ｓｉ朗ａ１信号机制通知事件。
ｉｎｏｔｉ匆是为了替代ｄｎｏｔｉ匆而设计的，它克服了以上ｄＩｌｏｔｉｆ３，的缺陷，提供了
更好用、简洁和强大的文件变化通知机制。

①ｉｎｏｔｉ匆不需要对被监视的目录打开文件描述符号，而且如果正在监控的目

录是可移动介质上的，那么当该文件系统被卸载了，那么监控操作会被移除，得
到一个卸载的事件。

②ｉｎｏｔｉ母不仅能监视目录，，也可以监视文件。
。

③ｉｎｏｔｉｆ３，使用文件描述符作为基本接口，可以通过ｐｏｌｌ【６１和印０１１【６】来操作
文件描述符，比ｓｉｇａｌ功能更强大。
表２．７给出了ｉｎｏｔｉ匆可以监控的文件系统事件【３引。

表２－７ ｉｎｏｔｉ匆监控的事件

玳ＯＰＥ］Ｎ 文件被打开事件
ＩＮ ＣＲＥＡｎ！ 创建文件事件
ＩＮ ＣＬＯＳＥ 文件被关闭事件

１８
 第二章文件系统的开发技术

ＩＮ ＤＥＬＥＴＥ 文件被删除事件
ＩＮ ＭＯＶＥＤ ＦＲＯＭ 文件被移走事件
ＩＮ ＭＯＶＥＤ ＴＯ 文件被移来事件
ＩＮ ＭＯＶＥ 文件被移动事件
ＩＮ ＤＥＬＥＴＥ ＳＥＬＦ 文件自删除事件
ＩＮ ＭＯＶＥ ＳＥＬＦ 文件自移动事件
ＩＮ ＵＮＭＯＵＮＴ 宿主文件系统被卸载事件
ＩＮ ＭＯＤＩＦＹ 文件被修改事件
ＩＮ久兀ＲＩＢ 文件属性被修改事件
ＩＮ ＣＬＯＳＥ ＷＲ＿ＩＴＥ 可写文件被关闭事件
．．Ｊ・

ＩＮ ＣＬＯＳＥ ＮＯＷＲＩＴＥ 不可写文件被关闭事件

当应用于性能监控、调试和自动化领域时，ｉｎｏｔ毋是一种用于监控ＬｉｌｌｕＸ文
件系统的、强大且细粒度的机制。使用ｉｎｏｔｉｆ３，机制的ＡＰＩ，可以编写以最低的性
能开销响应或记录文件系统事件的应用程序。

２．４．２拦截系统调用技术

在介绍该技术之前，要先解释一下内核可加载模块ＬＫＭ【２】（Ｌｉｎｕ】【Ｋｅｎｌｅｌ
Ｍｏ（１ｕｌｅ）和ＬｉｎｕＸ系统调用的概念。

１） 删（ＬｉｒｎⅨＫｅｍｅｌ Ｍｏｄｕｌｅ）
众所周知，“ｎｕｘ内核是个宏内核，它既对用户程序提供服务功能，同时也
作为管理者该整个系统，由于全部功能集中在一块，系统花在内核功能的切换上
的开销就非常小，提供给用户程序的反映就很快，同时，各个功能之间的耦合度

就很紧，导致内核难以修改和增加新功能，而微内核只完成服务功能，其他的管
理功能就交给一个或多个特权服务程序，所以微内核可以很方便的扩充，但是切

换开销大。为了达到微内核理论上的许多优点而不影响性能，ＬｉｎｕＸ内核提供了
模块。模块是一个目标文件，其代码可以在运行时链接到内核或从内核解除链接；

这种目标代码通常由一组函数组成，用来实现文件系统、驱动程序或其他内核上
层功能
使用模块的主要优点包括：

①模块化方法
因为任何模块都可以在运行时被链接或解除链接，因此，系统程序员必须提

１９
 电子科技大学硕士毕业论文

出良好定义的软件接口以访问由模块处理的数据结构。这使得开发新模块变的容
易。
②平台无关性

即使模块依赖于某写特定的硬件特点，但它不依赖于某个固定的硬件平台。

例如，如何ｓｃｓＩ标准的磁盘驱动程序模块，在ＩＢＭ兼容ＰＣ和ＨＰ的Ａｌｐｈａ机上
都能很好地工作。
③节省内存使用

当需要模块功能时，把它链接到正在运行的内核中，否则，将该模块解除链
接。这种机制对于小型嵌入式系统非常有用的。

④无性能损失

模块的目标代码一旦被链接到内核，其作用与静态链接的内核的目标代码完
全等价。因此，当模块的函数被调用的时，无需显示地进行消息传递。

模块（ｍｏｄｕｌｅ）是在内核空间运行的程序，实际上是一种目标对象文件，没有
链界，不能独立运行，但是可以装载到系统中作为内核的一部分运行，从而可以

动态扩展内核的功能，模块最主要的用处就是用力实现设备驱动程序。Ｌｉｎｕ）【
ｋｅｎｌｅｌ中有一个变量叫ｍｏｄｕｌｅ ｌｉｓｔ，每当ｕｓｅｒ将一个ｍｏｄｕｌｅ加载到ｋｅｍｅｌ的时候，
这个ｍｏｄｕｌｅ就会被记录在ｍｏｄｕｌｅ １ｉｓｔ里面。当ｋｅｍｄ要使用这个ｍｏｄｕｌｅ提供的

函数功能时，就会去查询ｍｏｄｕｌｅ ｌｉｓｔ，找到该ｍｏｄｕｌｅ，然后再使用其提供的函数或

变量。每个ｍｏｄｕｌｅ都可以ｅＸｐｏｒｔ一些函数或变量来让别人使用。
在ＬｉｎｕＸ可加载模块出现之前，每次对内核的修改都需要重新编译整个内核，

当进行大量代码修改的时候，即便能够保证内核代码修改没有潜在的问题，花在
编译内核上的时间也是无法容忍的。而可加载模块出现之后，只要把编写的模块

编译之后，执行ｉｎｓｍｏｄ命令将该模块插入到内核中去，就可以给内核或其他的模
块提供功能。当不需要该模块的时候而且其他的模块对它没有依赖关系，执行
砌ＩＩｌｌｏｄｅ命令将该模块从内核中删除。

每个Ｉ，ＫＭ模块都有两个函数：ｉ１１ｉ ｉＩｌｉｔ ｍｏｄｕｌｅ（Ｖｏｉｄ）和 ｖｏｉｄ

ｃｌｅ ａ１１．—ｍｏｄｕｌｅ（ｖｏｉｄ）。其中ｉｎｉｔ．且ｏｄｕｌｅＯ在每次模块加载的时候被调用，可以进行

ＬＫＭ的初始化工作，比如：注册、设备初始化、分配内存等操作；而

ｄｅａｎ＿ｕｐ珊ｏｄｕｌｅ（ｖｏｉｄ）是在每次模块卸载的时候被调用，比如取消注册，释放内存
等操作。

由于Ｌｌ洲以上诸多优点，删常被用来开发设备驱动程序。
２）系统调用
 第二章文件系统的开发技术

Ｌｉｎｕｘ系统分为内核空间和用户空间，用户进程是禁止访问内核进程空间的

地址和数据，同时内核进程也无法直接访问用户进程空间的数据和地址。两者交
互必须通过一定的机制。

系统调用就是由内核实现的，然后通过一定的方式提供给用户，一般通过门
陷入实现的。系统调用是用户程序和内核进行交互的接口。

利用ＬＫＭ截获系统调用可以实现对文件系统的实时监控。首先把对每个文
件的读、写、打开、关闭等操作都能实时的截获；其次，把截获的对文件的操作

信息传递到用户空间的守护进程，由此守护进程来接着进行相关处理。

要实时的截获文件的操作信息，在用户空间下是无法实现的，因为我们知道，
任何一个用户进程对文件的读写操作，都是通过系统调用来完成的。当产生一个

系统调用，操作系统进入内核，由内核来执行相关的操作，然后再返回给用户进
程。因此，只要在内核中截获对文件系统的系统调用就可以实时的监控，而对文

件系统的系统调用的截获，可以通过修改系统调用表来实现。
在Ｌｉｎｕｘ内核的ｉｎｃｌｕｄｅ／姗．ｉ３８６／ｕｎｉｓｔｄ．ｈ文件中有一个完整的系统调用列表。
如下图所示一些与文件相关的操作的系统调用：

如上所示，每个系统调用都有一个系统调用号，该系统调用号是内核中的一

个一维数组系统调用表ｓ怼ｃａｌｌｊａｂｌｅ口的下标，通过这个系统调用号，在发生系
统调用的时候映射到实际的函数中。如下面代码所示：

２ｌ
 电子科技大学硕士毕业论文

ｓｙｓｃａｌＬｐａｌｌ：

ｃａｌｌ木ｓｙＳ．．Ｃａｌｌｊａｂｌｅ（，％ｅａＸ，４）
比如，当发生ｓｙＳ＿婶ａｄ（ＮＲ＿Ｊ℃ａｄ）系统调用的时候，系统调用号被压栈，传入

到寄存器ｅａＸ中，然后执行ｃａｌｌ丰ｓｙＳ－ｃａｌｌ＿ｔａｂｌｅ（％ｅａ）【，４）这条语句，即ｅａｘ宰４（每个
函数指针的４个字节），找到对应的函数的指针，然后执行。

在代码中我们可以获取ｓｙｓ ｃａｌｌ ｔａｂｌｅ，修改包含其中的某个函数指针，即可

以修改对应的系统调用。如下面代码所示：
ｅＸｔｅｎｌ Ｖｏｉｄ｝ｓ ｙｓ．－ｃａｌｌｊａｂｌｅ［】； ｐ导出系统调用表木／

ｏｌｄＪｅａｄ＝ｓｙＳ＿＿ｃａｌＵａｂｌｅ【ＮＩｏ．ｅａｄ］； 产存放原来的系统调用指针事／

ｓｙ吖ａｌｌ—ｔａｂｌｅ【ＮＩｏ．ｅａｄ］＿ｎｅｗ－Ｆａｄ； ／奉将系统调用表的系统调用指针替
换为自己编写的函数幸／

通过挂钩文件操作的系统调用，改变文件操作的正常执行流程，添加上监控
操作，可以实现对文件系统的监控功能。

２．４．３两种监控技术的分析

通过以上的介绍，我们知道ｉｎｏｔｉ矽机制是监控文件系统的事件，可以很好的
反映某些事件的发生，如文件被访问、属性被修改、文件被关闭等，但是无法得
到更加详细的访问信息，包括访问该文件的进程名、进程号、读写操作、日期时
间等信息。而使用ＬＫＭ拦截系统调用是处于系统调用层的，位于ＶＦＳ之上，不

能得到更多的与文件系统相关的信息，而且修改系统调用表会带来安全隐患，以及

在多线程的环境下不健壮。所以，这两种方式都不是很好的选择，需要寻找一个
健壮、高效的监控方法。 ．

２．５ Ｓｔａｃｋａｂ Ｉｅ Ｆｉ ＩｅＳｙｓｔｅｍ

２．５．１ Ｓｔａｃｋａｂ Ｉｅ Ｆｉ ＩｅＳｙｓｔｅｍ介绍

要想实现对文件系统的监控，必须挂钩相关函数的，也就是修改文件系统或

者内核代码。然而任何修改文件系统或者内核的代码都是极其困难的。首先，内
核和文件系统的代码本身是很难掌握的，其次，任何可能出现的细小的错误都会

导致严重的系统破坏。而相比之下，文件系统提供了同一的、透明的访问机制在
用户空间和内核空间之间传递数据，我们更愿意通过给文件系统增加一些特性满
 第二章文件系统的开发技术

足额外的要求。虽然现在Ｌｉｎｌｌｘ通过Ⅵ，ｓ机制支持很多文件系统，但是他们都是
相对比较简单的，比如磁盘文件系统、网络文件系统等等，文件系统的的开发人

员把精力更多的放在文件系统的健壮性和效率上，所以，一旦一个文件系统很健
壮和高效的运行，文件系统的开发人员都不会对其进行更多的修改，此外，文件
系统的维护人员很少接受补丁增强文件系统的稳定，因此，可以毫不奇怪的看到

目前主流的文件系统在本质上并没有发生改变。所以，如果我们要对文件系统增
加一些特性，不应该直接修改内核或文件系统的源代码了。

Ｌｉｎｕｘ把文件子系统分成了上下两层：上层虚拟文件系统ｖＦＳ和下层真正的
文件系统。ＶＦＳ作为一个中间层，处于系统调用和文件系统之间，它提供统一、

透明的机制去访问文件系统而不需要与具体文件系统相关的细节。当发生文件操

作的系统调用时候，由ＶＦＳ调用通用的函数，ＶＦＳ不需要知道将要被访问的文件
系统的类型。例如，读操作ｒｅａｄ（）访问ｅＸｔ３文件系统下的某个文件，触发系统调

用，调用ｓｙｓｊｅａｄ（）例程，调用由ＶＦＳ调用通用Ｖｆ啊ａｄＯ例程，然后通过前面讲述
的函数跳转表，调用具体文件系统的读操作，对于ＥｘＴ３文件系统来说，就是

ｅＸｔ３』ｅａｄ（）例程。
从ＶＦＳ我们可以得到一些启示，ＶＦＳ是文件系统的抽象层，为具体文件系统

提供了统一的接口来实现转发操作，屏蔽了具体文件系统的细节问题。为了给现
有的文件系统增加新的功能，实现对文件系统的监控，而又不改变文件系统的源

代码的前提下，我们也可以再添加一个中间层，其功能类似于ＶＦＳ，不过与ＶＦＳ
不同的是，新添加的中间层不仅仅对流程进行转发，还要实现文件系统的监控操

作。

该中间层称之为ＳＦＳ（Ｓｔａｃｋａｂｌｅ ＦｉｌｅＳｙｓｔｅｍ）【８１，可以象ＶＦＳ一样被上层文件操
作调用，并调用下层的文件操作。图２．７给出了增加一个中间层之后的文件系统
架构。
 电子科技大学硕士毕业论文

曩白盘曲
用户进程
｜
妇垃盘信ｌ １ ｒ
’】协Ｉ●’翟
Ｉ
ｖＦｓ ｌ
Ｉ

上
ＳＦ８

ｌ
踟３
Ｉ
ｌ
＜！＞

磁盘

图２．７增加监控层的架构

新增加的中间层是一个文件系统，是一个堆叠式文件系统【９１Ｓｔａｃｋａｂｌｅ
ＦｉｌｅＳｙＳｔｅｍ（ＳＦＳ）。ＳＦＳ可以单独使用，并挂载在操作系统上任何已经存在的文件

系统的挂载点之上。这样，只要开发一个ＳＦＳ，就可以应用在任何的文件系统之
上。

以上就是一个ｓｔａｃｋａｂｌｅ Ｆｉｌｅｓｙｓｔｅｍ的框架，在Ⅵ７Ｓ和文件之间在加入一个中

间层文件系统ＳＦＳ，在不改变内核和文件系统的源代码的方式，利用ＬＫＭ（内核
可加载模块）来实现这个中间层，这个中间层是ＳＦＳ的一个具体实例，称之为监控
文件系统．ＭＦＳ（Ｍｏｉｎｔｏｒ ＦｉｌｅＳｙｓｔ锄）。

２．５。２ Ｓｔａｃｋａｂ ｌ ｅ Ｆｉ ｌ ｅＳｙｓｔｅｍ原理

传统的文件系统开发是很困难的，在现有的文件系统中，即使一个很小的变

化也需要对内核内部的深刻理解和把握，从而使得文件系统的开发难度很大。过
去的建议是，在现有的文件系统中提供可扩展的文件系统接口，这将简化新的文
 第二章文件系统的开发技术

件系统的开发，但是文件系统系统的开发和维护人员拒绝对文件系统本身做出任

何大的变化，因为稳定性和性能问题才是文件系统最关心的。
ＳＦｓ可以向文件系统提供增加特性的机制，它并不需要修改任何内核或文件

系统的代码。ＳＦＳ作为一个中间层的文件系统，它位于Ⅶｓ与具体文件系统之间，
与ｖＦＳ和下层的文件系统进行通信。文件操作流程从ＶＦＳ转发到ＳＦＳ，然后再由
ＳＦｓ转发到具体的文件系统中。我们称ｓＦＳ为上层文件系统，而具体的文件系统

为下层文件系统。ＳＦＳ作为一个中间层，可以添加很多有用的功能，比如用于对

数据加密、解密的安全功能【１５】；用于过滤文件操作的监控功能【”】；用于数据隐藏
的加密功能等等。

ＳＦＳ是利用Ⅵｌｏｄｅ堆叠技术【１３】实现的。Ⅶｏｄｅ是ＵＮⅨ操作系统中虚拟文件【５】
系统表示一个文件或者目录的对象，与之前讲述的Ｌｉｎｕｘ操作系统的虚拟文件系

统的ｉｎｏｄｅ相似。Ⅶｏｄｅ接口【２０】通过分层的方法，抽象了内核对文件系统的具体
操作，形成一个中间层ｖＦＳ，由ｖＦＳ来转发对具体文件的操作，从而隐藏了内核

代码直接访问下层文件系统的具体实现过程。对操作系统支持的任何不同的文件
系统的操作都将通过Ｖ１１０ｄｅ提供的统一接口来访问，从而实现了系统透明的访问

任何一个可支持的文件系统，而不需要关心所访问的文件系统的具体类型。Ⅶｏｄｅ
对内核和具体文件系统之间的进行了抽象，增加一个虚拟文件系统层，提供了统
一的文件操作接口。根据Ⅶｏｄｅ的堆叠技术原理，我们可以加以利用和改进。

为了给文件系统添加新的功能，在不改变原来现有内核和文件系统的前提下，
对Ⅶｏｄｅ接进行再次的分层，实现对文件操作的两次堆叠。存在两个虚拟层，这

样就存在了内核和具体文件系统之间就有两个Ⅶｏｄｅ接口，位于上层的是ＶＦＳ
的抽象层，而下层是为添加监控功能的抽象层。两次Ⅶｏｄｅ接口的堆叠让上层的

ｖｎｏｄｅ接口操作完成之后再转发到下一层的ｖｎｏｄｅ接口操作，从而对文件系统的
统一文件接口框架进行了再次划分，使功能分层化、模块化。

ｓＦｓ技术将实现了一个新的Ⅶｏｄｅ接口，并将堆叠在以前的Ⅶｏｄｅ接口之下。
ＳＦＳ的Ⅶｏｄｅ接口通过上层的Ⅶｏｄｅ接口传递文件操作的对象，使用下层文件系
统进行数据访问和文件操作。ＳＦＳ在新的Ⅶｏｄｅ接口上添加了文件监控功能，用
于实现对文件系统的监控操作。
ｓＦＳ实现了自己的Ⅶｏｄｅ接口，拥有自己的数据结构和方法，ＳＦＳ就象另一

个具体的文件系统一样挂载在ＶＦＳ的矗１ｅ ｓｙｓｔ锄ｅＳ【４】链表之下工作，但与基于块
设备的文件系统或基于网络的网络文件系统不同，ｓＦＳ本身的特点只是增加新的

特性，本身并不需要操作和存储数据，所以一般不需要设计新的数据结构以及提
 电子科技大学硕士毕业论文

供对这些文件系统对象的基本存储，具体的数据操作和数据存储工作将依赖下层
的具体的文件系统来实现。

ｓＦｓ的基本工作原理是：接收上层文件系统的调用，对参数进行相关的处理，

然后将文件操作转发到下层具体文件系统获取返回结果。ＳＦＳ可以在大部分１１１１ｉｘ
或Ｌｉｎｕｘ系统中实现。

虚拟文件系统ＶＦＳ的元数据ｄｅＩｌ时、ｉ１１０ｄｅ和ｆｉｌｅ对象都包含一个私有域指向
文件系统自己定义的私有数据对象。如ｆｉｌｅ对象中的ｐｆｉｖａｔｅ ｄａｔｅ域、ｄ咖对象
的ｄｊ．ｓｄａｔａ域以及ｉｎｏｄｅ对象中的ｕ．ｇｅｎ甜ｃｊｐ域。当ＳＦＳ的操作被Ⅵ７Ｓ调用的
时候，这些对象传递给了ＳＦＳ，可以利用对象这些私有域来存放与下层文件系统

相关的信息，其中最重要的是保存指向下层文件系统对应的对象的指针，以便在
执行ＳＦｓ操作之后可以返回到正常的文件操作流程中。ｓＦＳ对象可以通过这些私

有域来存放上层Ⅵ，Ｓ对象，通过私有域与ＶＦＳ之间建立对象的联系，实现Ⅶｏｄｅ
接口的堆叠。比如，ＳＦＳ的操作流程中，一个ｉｎｏｄｅ对象，可以通过它的ｕ．ｇｅｎ耐ｃ ｉｐ

域保存ＶＦＳ传递下来的ｉｎｏｄｅ对象，在进行过滤操作完成之后，恢复ＶＦＳ的ｉｎｏｄｅ
对象，然后通过ｉｎｏｄｅ对象中的文件操作转发表，将文件操作流程转发到具体的
文件操作中。

实际上，Ⅶｏｄｅ堆叠并不是一对一的，上层的Ⅶｏｄｅ和下层的Ⅶｏｄｅ对象并
非是一对一的关系。ＳＦＳ堆叠技术允许一个文件系统挂载在多个目录之上，从而

产生了多个Ⅶｏｄｅ对象，这样上层的Ⅶｏｄｅ对象将拥有一个由多个下层Ⅶｏｄｅ的
形成的链表，这是ｓＦｓ的一个重要应用，人们可以使用这种方式来实现一个备份

文件系统的应用，ｓＦＳ将一个文件系统挂载在两个不同文件系统之上，把其中的
一个文件系统将作为另一个备份：应用程序通过上层文件系统对其中的一个文件

系统进行数据存取，而所有相关的修改操作都被转发到另一个文件系统中，而数
据转发和接收都在ｓＦｓ的ｖｏｎｏｄｅ接口中实现，从而实现了数据的备份。

不难看出，ＳＦＳ是一种叠加式的文件系统开发技术，在具体文件系统之上进
行功能的增加、删除和修改，使得文件系统开发人员不需要关心下层文件系统的

实现细节，而更专注于新加入功能的实现，这就降低了开发和移植的难度。同时，
由于多个ＳＦＳⅦｏｄｅ对象可以通过特定的的顺序堆叠在一起，从而可以形成一个

新的具备多种功能的文件系统。因此，ＳＦＳ也是一种系统开发模块化的技术。例
如，有两个ＳＦＳ，一个提供数据加密功能，另一个提供数据压缩功能，那么它们

堆叠在一起在效果上就相当于一个同时提供加密和压缩功能的文件系统。使用
ＳＦＳ进行文件系统开发可按照功能把文件系统划分为多个层次的模块，模块化的
 第二章文件系统的开发技术

开发有利于测试和重用。ｓＦＳ下层可以使用任意的实现Ⅶｏｄｅ接口的文件系统，
这带来了很大的灵活性，更重要的是这意味着它可以与ＮＦＳ等分布式文件系统联
合工作，有助于把基于磁盘的文件系统和分布式系统统一起来研究。

由于Ⅶｏｄｅ堆叠增加了文件系统的层次，额外的函数调用会必然带来了性能
的开销，但由于新增的功能函数都是在内核模式下进行调度的的，不需要进行频

繁的上下文的切换，所以这些开销不会带来实质性的影响，实验表明，由ｓＦＳ带
来的性能损失不超过７％，这对于大部分应用来说完全可以接受的。

ＳＦＳ最基本的功能是传递函数指针和参数到下层的具体的文件系统，由下层

的文件系统对应的函数实现功能。例如ｒｅａｄ（）操作，在没有实现ｓＦＳ的情况下，

由ｒｅａｄ（）一＞ｓｙ蹦ｒｅａｄＯ一＞Ｖ矗』ｅａｄ（）・＞ｅＸｔ３』ａｄＯ。在实现ＳＦＳ之后，ｒｅａｄ（）操作就会
。

多执行一个例程，ｒｅａｄ（）－＞ｓｙｓ．－ｒｅａｄ（）一＞ＶｆｓＪｅａｄ（）一＞ｍｆ－ｓ．—ｒｅａｄ（）・＞ｅＸｔ３—删狙（）。
通过以上三种技术的介绍，我们知道ｉｎｏｔｉ矽机制是监控文件系统的事件，可
以很好的反映某些事情的发生，如文件被访问、属性被修改、文件被关闭等，但
是无法得到更加详细的访问信息，包括访问该文件的进程名、进程号、读写操作、

日期时间等信息。而使用Ｉ，ＫＭ拦截系统调用是处于系统调用层的，位于虚拟文
件层之上，不能得到更多的与文件系统相关的信息。所以，这两种方式都不是很

好的文件系统监控的选择。
ＳＦＳ可以作为一个可装载模块动态的装载到内核中，增加新的特性和功能，

与前面介绍的ｉｎｏｔｉｆ３，机制和拦截系统调用这两种技术相比，ｓＦｓ的优势明显，它
具有以下的优点：

１１可以挂载在多种类型的文件系统之上，和多种文件系统组合使用。从而更
容易的增加和扩展文件系统的功能。 ．．

２’）是基于砌ｘ的Ⅵ１０ｄｅ堆叠技术实现的，可以应用于多种眦ｉｘ和类ｕｎｉｘ系
统，有很好的可移植性，并使用标准的接口。

３）与ｉｎｏｔｉ母比较，不仅仅能监控文件系统的事件，还能够获取文件系统操作
详细的细节信息，如具体文件和进程的信息。

４）与挂钩系统调用只是处于系统调用层，ＳＦＳ位于ＶＦＳ和下层文件系统之
间，处于系统调用之下的文件系统层，可以获取更多与文件系统及其文件操作相

关的信息，提供更加确切的监控信息。
综上所述，由于ＳＦＳ具有良好的性能并且易于移植和开发，我选择了
Ｓｔａｃｃｋａｂｌｅ ＦｉｌｅｓｖＳｔｅｍ的技术并结合具体的文件操作环境，来实现文件系统的监控

功能。
 电子科技大学硕士毕业论文

２．６ ＬＫＭ实现Ｓｔａｃｋａｂ ｌ ｅ Ｆ ｉ Ｉ ｅＳｙｓｔｅｍ

实现文件系统的实时监控，即实现一个ＳＦＳ的实例，它是基于“ｎｕｘ可加载
模块技术的，作为模块动态的加载到内核中或从内核中卸载。

在ＳＦＳ中对文件系统的相关操作进行过滤处理，不仅仅需要获得过滤的对象，
也需要对其过滤的信息进行下一步的处理，以友好的方式展示出来。一般有两种
方式来处理：

将数据处理放在内核可加载模块中，即在内核空间进行处理。

将数据处理放在一个用户空间的守护进程处理。 一， ．

通过简单的比较，我们可以知道，第２种方式比第１种方式更好，有以下３
点原因：

将数据处理全部放在内核可加载模块中，首先会加大内核模块中的代码量增

加，逻辑复杂，容易出错，而且难以调试。

２）在内核空间下的ＡＰＩ功能与数目有限，不及用户空间方便，容易造成编程
的困难，而且在内核空间出错的危害性远远大于用户空间，有可能会造成系统崩
溃。

３）用户空间的守护进程可以利用现有的技术和产品，比如成熟的杀毒软件和
网络安全产品来获取更好的功能。

综合以上三点所述，我们采取了第２种方式来进行数据处理，由于数据需要
从内核空间传递到用户空间以及从用户空间传递给内核空间，这样就带来了另一

个问题，即处于内核空间的内核可加载模块与处于用户空间的进程之间的数据传
递。

２．７ ＬＩＮＵＸ下用户空间与内核空间数据交换的方式

一般地，在使用虚拟内存技术的多任务系统上，内核和应用有不同的地址空

间，因此，在内核和应用之间以及在应用与应用之间进行数据交换需要专门的机

制来实现，众所周知，进程间通信（ＩＰＣ）机制就是为实现应用进程与应用进程
之间的数据交换而专门实现的，而应用进程与内核空间之间的数据交换机制与
ＩＰＣ有很的的不同。ＬｉｎｕＸ系统下内核空间与应用进程进行数据交换的各种方式，

包括内核启动参数、ｓｙｓｆｓ、ｐｒｏｃｆＳ、ｓｅｑ ６１ｅ、ｎｅｔｌｉｌｌｋ等。
１）内核启动参数【２１
 第二章文件系统的开发技术

“１嗽提供了一种通过ｂｏｏｎｏａｄｅｒ向其传输启动参数的功能，内核开发者可以
通过这种方式来向内核传输数据，从而控制内核启动行为。通常的方式是：定义

一个分析参数的函数，而后使用内核提供的宏Ｊ酣巾把它注册到内核中。
２）ｓｙｓｆｓ【２】
内核子系统或设备驱动可以直接编译到内核，也可以编译成模块。如果编译
到内核，可以使用前一种介绍的方法通过内核启动参数来向他们传递参数；

如果编译成模块，则可以通过命令行在插入模块时传递参数，或者在运行时，通

过ｓｙＳｆｓ来设置或读取模块数据。Ｓｙｓｆｓ是一个基于内存的文件系统，ｓｙｓｆｓ提供了
一种把内核数据结构，它们的属性以及属性与数据结构的联系开发给用户态的方

式。用户要想使用ｓｙＳｆｓ读取和设置内核参数，仅需装载ｓｙｓｆｓ就可以通过文件操
作应用了读取和设置内核通过ｓｙＳ６开发给用户的各个参数。

３）ｐｒｏｃ∥
ｐｒｏｃｆｓ，即ｐｒｏｃ文件系统，它是一种特殊的文件系统，只存在于内存中，没
有磁盘映象，而不占用外部空间，它用统一的文件系统的接口为访问内核数据的

操作提供接口，用户和应用程序可以通过ｐｒｏｃ得到系统的信息，并可以改变内核
的某些参数。它是一种比较老的用户态和内核态的数据交换方式。内核中的许多

数据都是通过ｐｒｏｃｆｓ传递给用户态的，而且内核中的很多配置也是通过它来方便

用户设置。除了ｓｙＳＣｎ出口到／ｐｒｏｃ下的参数，ｐｒｏｃ提供的大部分内核参数都是只
读的。Ｐｒｏｃ６发展至今，已经有很多应用依赖于它，已经成为必不可少的一个组

件。应用程序可以通过读／ｐｒｏｃ文件系统中的进程信息。每个进程以一个进程号命
令的目录，该目录之下的子目录和文件都表示该进程的各种信息。在这里做一下

简要的说明。
ａｕＸｖ二进制文件。ａｕｘｖ ｔ结构数组，包含进程执行时传递给动态链接器的初

始值。
ｃｍｄｌｉｎｅ进程启动的命令行参数。

ｅｎｖ曲ｎ进程使用的环境变量信息。
ｅＸｅ符号链接，指向进程的可执行的二进制文件。
趔包含当前进程所有文件描述符的目录。除了系统默认打开的三个描述符的

０（标准输入）、１（标准输出）、２（标准错误）之外，就是该进程自己打开的描述符。
ｍ锄ａｐｅｄ ｂａＳｅ该文件的内容表示一个地址，即共享库被加载到内存的起始
地址。默认是ｏ）【４０００００００。

ｎ１１Ｉｌａｐｓ保存的内存映象。

２９
 电子科技大学硕士毕业论文

ｍ锄进程的内存被利用的情况。用于某一应用程序在直接访问另一个应用程
序的内存。其中一种方式就是直接使用ｍｍａｐ（）映射。
ｓｍ印ｓ是比ｍ印ｓ更详细的内存映象信息。
ｓｔａｔ进程状态，列举几个重要的字段。

ｐｉｄ进程（包括轻量级进程）号。
ｃ０１１１Ｉｎ．应用程序的名字。
ｔａＳｋ ｓｔａｔ进程的状态。

ｐｐｉｄ父进程号。
ｕｔｉｍｅ该进程在用户态运行的时间。
ｓｔｉｍｅ该进程在核心态运行的时间。

ｐｒｉｏｄｔｙ该进程的动态优先级。
ｎｉｃｅ该进程的静态优先级。

ｔａＳｋ该目录列出了进程中的所有线程（包括主线程）。每个线程目录下也有自
己的目录和文件。

用户进程，可以很方便的使用叩ｅｎ（）、ｒｅａｄ（）等文件操作来读取这些进程相关
的信息。

４）ｓｅｑ』１ｅ【２】

一般地，内核通过在ｐｒｏｃｆｓ文件系统建立文件来向用户空间提供输出信息，

用户空间可以通过任何文本阅读应用查看该文件信息，但是ｐｒｏｆＳ有一个缺陷，
如果输出内容大于１个内存页，需要多次读，因此处理起来很难，另外，如果输
出太大，速度比较慢，有是会出现一些意想不到的情况。在２．４内核以及之后，

使用ｓｅｑ ｆｉｌｅ可以向内核输出大文件信息更容易。
５）ｎｅｔｌｉＩｌｋ【２】

ｎｅｔｌｉｎｋ是一种在内核与用户应用间进行双向数据传输的非常好的方式，用户
态应用使用标准的ｓｏｃｋｅｔＡＰＩ就可以使用ｎｅｔｌｉｎｋ提供的强大功能，内核态需要
使用专门的内核ＡＰＩ来使用ｎｅｔｌｉＩｌｌ【。

本系统中的用户空间的模块与内核空间的内核模块既有频率高、数据量大的

日志数据交换，也有频率低、数据量小的配置数据交换，针对两种不同类型的数
据交换的特点，采取了两种传输方式：

内核空间从用户空间获取关键文件和进程信息的配置数据，采用ｐｒｏｃｆｓ方式，
原因有下列３条：

１）ｐｒｏｃ６本身的设计就是传输少量的数据，用ｐｒｏｃｆＳ传输配置信息。
 第二章文件系统的开发技术

２）经过长期的发展，应用广泛。在ＧＵＮ／Ｉ ｊｎ暇系统中已经确立了自己的地

位，即使ｓｙｓｆｓ吸取了很多／ｐｒｏｃ的教训，／ｐｒｏｃ依然长期存在。

３）ｐｒｏｃ技术成熟，提供友好的接口函数，使用方便。
用户空间从内核空间获取过滤日志信息的数据，采用ｍｍａｐ映射共享内存方
式。
由ＭＦＳ模块在内核中获取一块共享内存，然后将该共享内存的属性，即起始

地址和长度通过ｐｒｏｃｆＳ传递给用户空间，用户监视模块读取ｐｒｏｃｆｓ获取起始地址
和长度，通过信息调用姗印映射到这块共享内存中。ＭＦＳ模块将过滤日志写入
到这块共享内存中，用户监视模块从这块共享内存中读取日志信息。采用这种方
式有以下３个原因：

１）共享内存是最有效也是最快的礤Ｃ通信方式。

２）共享内存的效率高，一次可以传输大量数据。
３）用户空间提供了很好的函数接口支持。

２．８本章小结

本章围绕“ｎｕＸ文件系统监控所需要知识和技术，重点介绍了Ｌｉｎｕ）【内核结

构框架、虚拟文件系统ＶＦＳ、文件通用模型、删（Ｌｉｎ＿１１）【Ｋ锄ｅｌ Ｍｏｄｕｌｅ）以及
ｈｌｏｔｉ～、拦截系统调用和ＳＦＳ可堆叠文件系统这三种监控技术，比较并选择了ＳＦＳ

做为本系统的开发技术。
ＶＦｓ提供了统一的文件操作接口，隐藏了下层具体文件系统的信息，是～个

文件系统的虚拟层。而ＳＦＳ是一种可堆叠的文件系统技术，跟ＶＦＳ一样，也隐藏
了下层文件系统的具体信息，通过实现了自己的Ⅶｏｄｅ接口，与ｖＦＳ的ｉｎｏｄｅ接

口顺序叠加，使得ＶＦＳ的ｉｎｏｄｅ接口函数完成之后可以转发到ＳＦｓ的Ⅶｏｄｅ接口

函数。ｓＦＳ实现的文件系统挂载在ＶＦＳ和下层的具体文件系统之间，从而为下层
的文件系统增加新的功能。

３ｌ
 电子科技大学硕士毕业论文

弟二早糸现阪丌
第三章系统设计

本章介绍了系统的详细设计，首先介绍了系统整体结构和数据流程，然后分
别介绍了三个子模块的设计。

３．１系统需求

基于Ｌｉｎｕｘ内核驱动的文件系统监控系统主要用于监控对文件的操作与记
录进程对关键文件访问的信息。该系统的需求如下：
１）用户模块设置要被监控的进程

对文件操作的主体是进程，通过设置进程的访问权限，可以达到阻止进
程访问关键文件。

２）用户模块设置关键文件的权限（读／写／执行）
针对文件的用户主、文件组、其他用户来设置权限，针对系统中的不同
用户设置不同的访问权限。

３）ＭＦＳ模块过滤对关键文件的访问（读写／执行）
根据访问该关键文件的进程的权限以及该关键文件本身的访问属性，来
过滤文件操作。

４）ＭＦＳ模块记录对关键文件的访问
将进程对关键文件操作的信息记录到日志中，提供数据分析。

５１通信模块传递用户模块与ＭＦＳ模块的交互数据。
将用户模块与ＭＦＳ之间的数据交互通过合适的方式传递。

３．２系统设计

要实现在Ｉｊ删ｘ平台下的监控功能，关键的操作是在合适的地方拦截所有对

Ｌｉｎｕ）【文件系统的操作，并且根据用户设置的过滤规则对文件操作进行过滤操作。
而本系统的核心模块ＭＦＳ模块是处于内核态的，相对于用户态的开发，内核态的

开发有诸多的限制，如安全、可靠、性能等因素。因此基于Ｌｉｎ＿１１）【内核驱动的文
件系统监控设计目标：

３２
 第三章系统设计

１）不需要对内核和文件系统源码做出改动，在内核模式下实现高可靠性和高
性能。

２）利用内核可加载模块实现ＭＦｓ模块，实现动态加载和卸载，便于在多种
平台下移植。

３）便于系统扩展，利用ｓＦｓ（Ｓｔａｃｋａｂｌｅ ＦｉｌｅｓｙＳｔｅｍ）可堆叠技术，不改变ＶＦＳ
和下层文件系统的构架，只关注当前所需要增加的特性。很容易在原来的基础上
进行二次开发。

４）能够得到内核模式的保护，安全性有保证。

３．２．１系统结构

本系统共有三个子模块：ＭＦＳ模块（Ｍｏｌｌｉｔｏｒ ＦｉｌｅＳｙｓｔｅｍ）、用户模块（应用程序）
和通信模块。
用户模块的主要功能有：

１）配置进程信息控制列表。提供需要被监控的进程的相关信息，这些信息从
系统中实时获取。

２）配置关键文件权限。设置关键文件的访问属性，并通过通信模块传递给
ＭＦＳ模块中。

３）日志维护。通过通信模块获取从ＭＦＳ模块中得到的文件操作的日志，并
以友好的方式展示出来。
ＭＦＳ模块的主要功能有：

１）获取进程控制列表。从用户模块中获取需要被监控的进程的信息，用于生
成进程访问控制ｈａｓｈ表。

２）维护关键文件权限列表。从用户模块获取需要被监控的关键文件的信息，
用于生成文件访问控制ｈａＳｈ表。

３）过滤文件操作。在ＭＦＳ文件系统中的各个文件操作中，根据进程和文件
访问控制ｈａｓｈ表来过滤文件操作。

４）记录日志。记录进程对关键文件的文件操作的日志，并通过通信模块传递
给用户模块。
通信模块的主要功能有：

１）解析参数。解析用户模块发往ｍｓ模块的配置信息以及ＭＦｓ模块发往用
户模块的日志数据。

３３
 电子科技大学硕士毕业论文

２） 向用户监视模块发送数据。通过内存映射方式向用户模块传输大量的日志

数据。

３） 向ＭＦＳ模块发送数据。通过ｐｒｏｃ文件系统向ＭＦｓ模块传输少量的配置

信息。
图３．３给出了系统的整体架构图。

图３－１系统架构图

关键文件控制例程：从用户空间接收配置信息，并同步更新关键文件ｈａｓｈ列
表，提供被监控文件信息。

进程信息控制例程：从用户空间接收进程的信息，并同步更新监控进程信息
ｈａｓｈ列表，提供被监控进程的信息。

文件操作过滤例程：过滤ｒｅａｄ（）、、而ｔｅＯ、０ｐｅｌｌ（）、ｉｏｃｔｌＯ、ｄｏｓｅ（）等所有文件
 第三章系统设计

操作，根据用户提供的过滤信息，对有访问权限的进程访问关键文件的操作，记
录到日志中，然后操作流程转发到正常的文件操作例程；对没有访问权限的进程
访问关键文件的操作，拒绝之后返回。

关键文件表配置例程：由用户来添加、删除或修改需要被监视的关键文件属
性，并将信息传递给ＭＦＳ模块。

进程信息列表例程：获取当前系统的所有进程信息，由用户选择需要监视的
进程，并将进程信息传递给ＭＦＳ模块。

日志处理例程：从ＭＦＳ模块获取过滤操作的日志文件，并以友好的方式展示
给用户。

ｐｒｏｃ通信例程：负责在ＭＦＳ模块与用户监视模块之间传递频率小、数据量

小的配置信息。该例程从用户监视模块获取过滤信息，通过／ｐｒｏｃ文件系统传递给
ＭＦＳ模块。

Ｉ姗ａｐ通信例程：负责在ＭＦＳ模块与用户模块之间传递频率高、数据量大的
日志信息。该例程从ＭＦｓ模块获取日志信息，通过共享内存传递给用户监视模块。

３．２．２系统的数据流程

图３—２给出了系统的数据流程图。

３５
 电子科技大学硕士毕业论文

图３．２系统数据流程图

关键文件表配置例程》关键文件表控制例程：关键文件表配置例程以结构体

ｋｅｙ ６ｌｅ的形式向关键文件表控制例程发送控制命令和关键文件属性数据。
关键文件控制例程．＞关键文件ｈ础列表：关键文件控制例程以结构体
ｋｅｙ ｆｉｌｅ ｈａＳｈ ｉｔｅｍ的形式向关键文件列表发送控制命令和关键文件属性，向关键
文件ｈａｓｈ列表增加、删除或修改某个关键文件。

进程信息配置例程》进程信息控制例程：进程信息配置例程以结构体

ｐｒｏｃｅｓｓ ｉＩｌｆｏ的形式向进程信息控制例程发送控制命令和进程信息数据。
 第三章系统设计

进程信息控制例程．＞进程信息ｈａｓｈ列表：进程信息控制例程以结构体

ｐｒｏｃｅｓｓ ｉｎｆｏ ｈａＳｈ ｉｔｅｍ的形式向进程信息列表发送控制命令和进程信息，向进程

信息ｈ砒列表增加、删除和修改某个进程的信息。
文件过滤操作．＞日志队列：各个文件操作过滤例程在过滤操作完成之后，向

日志队列发送结构体ｌｏｇ ｑｕｅｕｅ ｉｔｅｍ的形式向日志队列中增加一条过滤操作日

志。

日志队列．＞日志处理例程：日志处理例程从日志队列中以结构体

１０９ ｑｕｅｕｅ ｉｔｅＩＩｌ的形式取出一条日志。

文件过滤操作．＞下层文件系统例程：通过保存在ＭＦＳ中的数据结构
ｍ蠡ｉｎｏｄｅ、ｍｆＳ ｄｅＩｌ仃ｙ、ｍｆＳ ６】ｅ结构体的私有数据域来获取上层文件系统（Ⅵ？Ｓ）
例程保存的ｉ１１０ｄｅ、ｄｅｎ时和ｆｉｌｅ对象，通过这些对象的函数跳转表，转发到下层
文件系统例程中执行，完成本次文件操作流程。

３．３用户监视模块的设计

用户空间的用户监视模块是整个系统的控制台，相当于系统的入口点和终端，
它将数据从用户模块传递到ＭＦＳ模块，并从ＭＦＳ模块获取日志信息。用户监视

模块的设计目标：

１）友好的界面设计，便于用户操作。
２）设计出良好的通信协议，方便与通信模块之间的特定数据格式的传输。
图３．３给出了用户模块的架构图。

图３．３用户模块架构图

３７
 电子科技大学硕士毕业论文

用户模块主要是向ＭＦＳ模块传递需要被监控的进程和关键文件信息，并获取
由ＭＦＳ模块过滤文件系统操作的日志信息。它包含三个子例程：
１）关键文件配置例程

２）日志处理例程
３）进程信息列表例程

３．３．１关键文件配置流程设计

１）由用户提供需要监控的关键文件信息，以界面友好的方式展出来。

２）通过与通信模块的接口向ＭＦｓ接收命令，并将命令和关键文件信息存放

在由ＭＦＳ创建的／ｐｒｏｃ文件系统中的文件中，等待通信模块ｐｒｏｃ通信例程异步通
知ＭＦＳ模块来读取。

３．３．２进程信息列表例程设计

１）从系统中收集了当前正在运行的所有进程信息，以界面友好方式展示出
来。

２）用户从中选择想要监控的进程，然后通过与通信模块的接口向ＭＦＳ模块

发送配置进程信息命令，并将命令和进程信息存放在由ＭＦｓ创建的／ｐｒｏｃ文件系

统中的文件中，等待通信模块ｐｒｏｃ通信例程异步通知ＭＦＳ模块来读取。

３．３．３日志处理例程的设计

１）当ＭＦＳ的日志队列中有日志时，由通信模块的ｍｍ印通信例程异步通知
日志处理例程来读取日志数据。

２）日志处理例程从ＭＦＳ创建的共享内存中读取日志信息，经过处理之后，
存放在日志缓冲区。

３）从日志缓冲区中提取日志，以友好形式展示出来，并提供查询、删除等操
作。
‘

３．４ ＭＦＳ模块的设计

基于第二章的讨论得到的结论，基于Ｉｊｎｕ）‘内核驱动的文件系统监控采用了
ＳＦＳ（Ｓｔａｃｋａｂｌｅ ＦｉｌｅＳｙｓｔ锄）可堆叠技术。ＭＦＳ（Ｍｏｎｉｔｏｒ ＦｉｌｅＳｙｓｔｅｎｌ）是ＳＦＳ的一个具
 第三章系统设计

体实现。ＭＦｓ模块既提供了与通信模块之间的数据传递接口，也提供了统一的文

件的函数接口来解手上层文件系统的操作和转发下层文件系统的操作。图３．４给
出了ＭＦＳ模块与ＶＦＳ以及下层文件系统之间的关系。

删山幽煳
，Ｔｊ，．．‘－Ｉ’吁
ｌ 用户进程
ｌ
ｒｅ霸哇

内核空阕 ｖ砖ｒｅａ畦

＿－，，ｋ．＾－－ｎ，－ ＇ Ｐ

ｏ。‘１‘＿‘・＿－

（ｍｏｎ主ｔｅｒ ｆｓ）ＭＪｉ．ｓ ＶＦｓ

镪ｔ｜３ ｐ姻ｄ
旺ｔ３ ｌＩｅ叠ｄ

－ ｒ

。ｌ —Ｊ
霄ＹＴｌ

７ｌ ｌ
ｌｄｊｓｌ 【‘ｌ薯阿ｌｌｅａｄ

＜参 ｌ

碰囊

图３．４基于ＳＦＳ接口的ＭＦＳ

ＭＦｓ模块将插入在ｖＦＳ和具体文件系统之间，一方面接收ＶＦｓ操作例程的

调用，如体ｒｅａｄＯ，另一方面在过滤操作完成之后又调用具体的文件操作
ｅＸｔ３ ｒｅａｄＯ。从中可以看出，ＭＦＳ模块只是让文件操作多了一个监控操作，对内
核的调度而言，也就多了一个函数的调用，会在一定程度上对文件系统的性能。’
图３．５给出了ＭＦＳ模块的结构图。

３９
 电子科技大学硕士毕业论文

图３．５ ＭＦＳ模块架构图

如上图所示，ＭＦＳ从用户监视模块获取监视的数据，当发生文件系统的系统

调用的时，操作流程转发到ＶＦＳ通用接口，然后再转发ＭＦＳ的接口，进行文件
过滤操作之后，执行流程最后转发到下层具体的文件系统操作中。

ＭＦＳ的作用是在ＶＦＳ和文件系统之间传递所有的函数操作和对象。相对于
ＶＦＳ，ＭＦＳ就是一个文件系统；而相对于文件系统，它就是一个ＶＦＳ。两个角色

决定着ＭＦＳ必须很小心的处理锁、引用计数、分配内存等操作。
ＭＦＳ模块主要功能是获取配置信息并过滤文件系统的所有文件操作，它一共

有３个子例程：

１）关键文件控制例程
２）进程信息控制例程
３）文件过滤操作例程

３。４．１关键文件控制例程的设计

１）维护一个关键文件ｈａＳｈ列表，存放着关键文件的属性信息，包括文件名，
文件所属用户、用户组，文件访问权限等属性。

２）接收用户监视模块发送的配置关键文件命令
 第三章系统设计

３）接收用户监视模块发送的关键文件属性数据

４）增加、删除或修改关键文件列表。

３．４．２进程信息管理例程的设计 ・：

１．）维护一个进程信息列表，存放着进程的相关属性信息，包括进程名，进程
权限，进程拥有者、进程拥有组等属性。

２）接收用户监视模块发送的配置进程信息命令。

３）接收用户监视模块发送的进程信息数据
４）增加、删除或修改进程信息列表。

３．４．３文件操作过滤例程的设计

ＭＦｓ模块的文件操作过滤例程，与其他的模块相比，不仅仅是一个内核的可

加载模块，而是被设计成一个可堆叠的文件系统（Ｓｔａｃｋａｂｌｅ ＦｉｌｅＳｙｓｔｅｍ），挂载在
ＶＦＳ和下层具体文件系统之间，在文件系统中实现对文件操作的过滤功能。该例
程是整个系统的关键部分，通过它来对文件系统进行过滤操作。因此它的设计目

标包括：
１）可在系统中动态加载和卸载
２、良好切呵Ⅸ和Ｌｉｎｕｘ平台的移植性
３）具备硬件和软件的可配置

４）良好的文件系统的监控功能
５１实现异步Ｉ／Ｏ和异步通知的支持

根据以上的设计目标和需求，该例程的设计流程如下：
１）设计并实现ＭＦＳ文件系统的数据对象。

２）设计并实现ＭＦＳ文件系统的方法，能够保存上层文件系统（即ＶＦＳ）传递
下来的数据结构，并实现过滤功能，以及过滤功能完成之后能够转发到下层的文

件系统操作流程中去。
３）将ＭＦＳ注册到ＶＦＳ中，让ＶＦＳ能够识别该文件系统

４）将ＭＦｓ挂载在系统某个具体的挂载点上，使得该文件系统能够工作。
５）ＭＦＳ能够接收从ＶＦＳ通用接口转发的文件系统流程，并执行ＭＦＳ自己
的文件操作过滤例程。在ＭＦＳ过滤例程中，对当前进程和关键文件的权限行匹配，

当该进程有权限访问关键文件的时候，将该操作记录在日志中；如果没有权限，

４ｌ
 电子科技大学硕士毕业论文

则直接拒绝操作并立即返回。

６）将日志写入到日志队列中，由通信模块异步通知用户监视模块从日志队列
中读取日志信息。

３．５通信模块的设计

通信模块是用来连接用户空间的用户监视模块和内核空间的ＭＦｓ模块的。由

于用户模块是不能直接访问内核空间的信息，只能通过内核模块来处理，两者直
接必然有数据进行通信，所以说通信模块是连接应用监视模块和ＭＦｓ模块的纽
‘
带。

通信模块的设计目标：

１）设计出良好的通信协议，方便用户监视模块和ＭＦｓ模块之间特定的数据
。

’。

结构的传输。

２）采用异步通知和异步Ｉ／Ｏ方式，快速、高效的传递数据。
通信模块有两个功能：把用户监视模块的配置数据传递给ＭＦＳ模块以及把

ＭＦＳ模块的日志信息反馈给用户监视模块。根据用户监视模块和ＭＦＳ之间传递
数据的频率和数据量的不同，采取了两种通信方式，所以通信模块有两个子例程：

ｐｒｏｃ通信子例程和ｍｍａｐ通信子例程：

ｐｒｏｃ子例程从用户空间向内核空间传递频率小、数据量少的配置信息。
ｍｍａｐ子例程从内核空间向用户空间传递频率高、数据量大的日志信息。
图３．６给出了通信模块的结构图。

，Ｈ户模块

地１两儇状
！戳，＝！＝．４ｄｔ，Ｊ．＾ ‘

Ⅲｍｐ避僻７例襁 ｐｎ—锄倌予例程ｌ
ｔ・

ｌ
ｌ
ｍ白橱《块

图３．６通信模块框架图

３．５．１ ｐｒＯＣ通信子例程的设计

４２
 第三章系统设计

１）用户监视模块将配置信息传递给该子例程，子例程获取之后，对数据进行

解析，以一定的格式入／ｐｒｏｃ文件系统中。

３）异步通知ＭＦｓ模块的关键文件配置例程和进程信息配置例程从／ｐｒｏｃ文件
系统中获取配置信息。

３．５．２ ｍｍａｐ通信子例程的设计

１）ＭＦＳ模块将日志信息传递给该子例程，子例程获取之后，对数据进行一
定的解析，写入到共享内存中。

２）异步通知用户监视模块从共享内存中获取日志信息。

３．６模块之间的接口设计

３．６．１外部接口

图３．７给出了配置进程信息接口和配置关键文件信息的接口：

图３－７用户监视模块配置进程信思和配置关键文件的接口

该接口提供四个接口函数：ｎｅｗ．上ｅｙ二且１ｔａｔｔｒｏ、ｄｅｌｊ（ｅｙｊｉｌｅ ａｔｔＩＯ、
ｎｅｗ ｐｒｏｃｅｓｓ．ｊｎｆ０（）和ｄｅｌＪｐｒｏｃｅｓｓ＿ｉｎｆｏＯ，分别用来实现增加和删除关键文件属性
和进程信息的格式的结构体信息，便于向通信模块传输。该接口依赖于事件触发，
由用户发起配置操作。

３．６．２内部接口

４３
 电子科技大学硕士毕业论文

１）用户监视模块与通信模块之间有两个接口，图３．８给出了这两个接口。

用户监视模块调用ｓｅＩｌｄ』ｏｎｆｉｇｊｎｆｏ（），通过通信模块传递进程信息和关键文
件配置信息。

通信模块调用ｓｅＩｌｄｊｏｇ＿ｊｎｆｏ（），把从ｍ６模块的共享内存中获取的日志信息
传递给用户监视模块。

ｓｅｎｄ＿ｃｏｌｌ矗ｇｊｎｆ００

∞ｎｄｊｏ＆ｊｈｌｆｂＯ

图３．８用户监视模块与通信模块之间的接口

２）ＭＦＳ模块与通信模块直接有两个接口。图３．９给出了这两个接口。

通信模块调用ｇｅｔ＿ｌｏｇ＿ｉｎｆｏ（）方法，接收存储在ＭＦＳ模块的共享内存中的日
志信息。

ＭＦＳ模块要调用ｇｅｔ－＿ｃｏｎｆｉｇｊｎｆｏ（）方法，获取从用户监视模块传递过来的进
程和关键文件信息。

ｇ嚏－ｌｏｇ＿ｉｎｆｏＯ

图３．９ ＭＦｓ模块与通信模块之间的接口
 第三章系统设计

３．７本章小结

本章主要介绍了基于“１１ｕＸ内核驱动的文件系统监控的设计，设计了系统和

各个子模块的结构图，并设计了各个子模块之间的接口。
系统由用户监视模块、ＭＦＳ模块和通信模块三个模块组成。用户监视模块在

用户空间提供进程和关键文件信息；ＭＦＳ模块在内核空间过滤文件操作；通信模
块负责两个模块之间的数据通信。

４５
 电子科技大学硕士毕业论文

第四章系统实现

本章介绍了系统的具体实现，分别描述了三个子模块的核心功能的详细实现
过程。

４．１用户监视模块的实现

对当前系统所有正在运行的进程进行实时的监控，用户监视模块要获取进程

的相关的信息，如进程的映象名、用户名、ＣＰＵ和内存使用情况、Ｉ／Ｏ吞吐量、
缓存等信息，同时将这些进程的信息友好的展示出用户，用户可以根据自己的需

要对展示的进程选择出需要监控的进程。用户监视模块还要给内核提供关键文件
属性的相关信息，包括文件的所有者、用户组和其他用户对改文件的访问权限。

用户监视模块需要将进程的信息和关键文件信息通过通信模块传递到ＭＦＳ模块
中，而ＭＦＳ需要将日志信息反馈给了用户模块。根据用户模块的具体需求，用户

模块有三个功能：进程信息展示功能、日志展示功能、配置功能。
用户模块主要由三个界面组成。第一个界面是实现信息展示功能，展示提供

给用户选择的监控的进程列表信息，提供配置功能和传输功能；第二个界面是展
示反馈给应用层的日志，提供查询、删除功能；第三个界面提供给用户进行配置

进程信息和配置关键文件属性，提供配置和传输功能。

４．１．１进程信息展示功能

该功能的展示界面由进程的映射名称、用户名、ＣＰＵ和内存使用率、Ｉ／Ｏ吞
吐量、线程等系统相关的信息组成，提供给用户选择的依据。实现流程如下：

１）依次进入／ｐｒｏｃ中以数字命令的目录，该目录是以进程号为名字，其保护
的目录和文件都表示了该进程的相关属性信息。

２）在每个进程目录中分别ｒｅａｄ（）操作从每个进程的的相关路径下读取ｅｘｅ、
ｃｍｄｌｉｎｅ、ｓｔａｔ、ｓｍａｐ来获取可执行文件名、参数、进程号、父进程号、静态优先
级、动态优先级和内存映象等进程信息。

３）将每个进程的信息存放在ｓ仃ｕｍ ｐｒｏｃｅｓｓ ｉｎｆ０结构中，并链接到链表

ｐｒｏｃｅｓｓ鼯ｉｎｆｏ中。
 第四章系统实现

４）依次从ｐｒｏｃｅｓｓｅＳｊｎｆｏ中获取每个进程的信息，通过界面展示给用户使用。
由于系统的运行，进程也不断的变化，为了获得最新的数据，需要不断的读

取数据，并刷新界面中的数据。为了防止数据的不一致性和提高效率，采用每隔
１０ｓ一次性读完所有的进程信息，然后刷新界面中的数据。

４．１．２日志展示功能

该功能的展示界面由日志信息组成。记录着被监控的进程访问关键文件的操

作，包括进程号、操作类型（读／写／执行）、访问日期等相关信息。实现流程如下：

１）通过／ｐｒｏｃ文件系统的文件中读取ＭＦＳ模块分配的一块共享内存地址的首
地址钮１ ａｄｄｒ和长度ｓｍ ｓｉｚｅ。

２）调用ｍｍａｐ（）【６】映射到这块共享内存上。
３）使用ｒｃａｄ（）【６】同步读取由ＭＦＳ模块写入的日志信息。
钔将日志信息展示给用户
５．）提供查询和删除功能。

４．１．３配置功能

提供配置关键文件的功能。包括增加、修改、删除关键文件属性，然后通过

将控制命令和数据信息写入到由ＭＦＳ模块创建的／ｐｒｏｃ文件中，由通信模块通知
ＭＦｓ模块异步读取数据。关键文件由用户提供，通过图形界面实现配置。

１）进入ＭＦＳ创建的／ｐｒｏｃ的ｋｅｆ ｆｉｌｅ／ｃｏｎｆｉｇ ｆｉｌｅ文件。

２）使用、柑ｔｅ（）操作向ｃｏｎｆｉｇ矗１ｅ写入控制命令和数据。
３）等待ＭＦＳ模块来读取配置数据。

４．２ ＭＦＳ模块的实现

．ＭＦＳ模块是基于Ｌｉｎｕ）【可加载模块实现的一个ｓＦＳ实例，它是一个内存文件
系统【１４１，挂载在ＶＦＳ与具体文件系统之间。ｍＳ模块有三个功能：配置关键文
件功能、配置进程信息功能、过滤文件操作功能。

４．２．１配置关键文件功能实现流程

１）调用ｐｒｏｃ＿础（ｄｉｒ（）和ｃｒｅａｔｅ＿ｐｒｏｃ虹ｌｆ０即仃ｙ０分别在／ｐｒｏｃ文件系统建立目

４７
 电子科技大学硕士毕业论文

录ｋｅｙ－丘ｌｅ以及下属的文件Ｃ０ｎｆｉｇ』ｌｅ。
２）通过系统调用ｓ怼叩ｅ１１０和ｓｙ蔓』ｅａｄ（）从／ｐｒｏｃ文件系统中获取由用户监视
模块写入的关键文件配置命令和配置信息。
３）通过获取的命令来增加、删除或修改关键文件ｈａＳｈ列表。

４．２．２配置进程信息功能实现流程

该功能的实现与配置关键文件功能的实现相似。

１）调用ｐｒｏｃ＿ＩＩｌｋｄ域）和ｃｒｅａｔｅ＿ｐｒｏｃ－ｉ心Ｌ饥缸ｙ（）分别在／ｐｒｏｃ文件系统建立目
录ｐｒｏｃｅｓｓ ｉｎｆｏ以及下属的文件ｃｏｎｆｉｇ ｐｒｏｃｅｓｓ。

２）通过系统调用ｓｙｓ＿ｏｐ髓Ｏ和ｓｙｓ－』ａｄ（）从／Ｉ）ｒＯｃ文件系统中获取由用户监视
模块写入的控制命令和进程信息。

３）通过获取的控制命令来增加、删除或修改进程信息ｈａＳｈ列表。

４．２．３过滤文件操作功能实现流程

过滤文件操作实现是在ＶＦＳ和具体文件系统之间再挂载一个文件系统，在操
作传递到具体文件系统之前先进行一次操作的过滤。具体实现是创建新的文件系
统、然后挂载到内核中。

文件系统的实现包括文件系统的数据结构和文件操作两部分，由于这部分内

容比较多，该功能的具体实现放在下一节来讲述。

４．３ ＭＦＳ的数据结构实现

ＭＦＳ作为一个独立的文件系统插入在ＶＦＳ和具体文件系统之间，必然要实
现一个文件系统的功能，拥有自己的数据结构和方法。在Ｌｉｎｕｘ中每个文件系统
都拥有５个重要的数据结构，即超级块、索引节点、目录项、文件对象、虚拟内

存对象，对ＭＦＳ来说也是必不可少的。而ＭＦＳ的主要功能是监控，只需要搜集

相关信息，并不会修改其中的字段，所以不需要创建新的的数据结构，因此在
ｍｆｓ模块的实现中可以通过包含＜ｌｉｎｕ刈ｆｓ．ｈ＞就可以使用这些数据结构，而不用自
己设计新的数据结构。

ＭＦＳ拥有自己的数据结构，但是为了起到“承上启下＂的作用，在拥有ＭＦＳ

自己的ｉｎｏｄｅ、ｄ咖和ｆｉｌｅ对象的同时，也必须保留ⅦＳ操作流程传递下来的
 第四章系统实现

ｉｎｏｄｅ、ｄ∞仃ｖ和６１ｅ对象，这样在实现过滤功能之后，才能找的到返回到下层文

件系统操作的函数指针。在第二章对ＳＦＳ技术讨论可知，ＶＦＳ中的ｉｎｏｄｅ、ｄｅｌｌ仃ｙ

和ｆｉｌｅ对象都有私有数据，即ｉｎｏｄｅ对象的ｕ．ｇｅＩｌ耐ｃ直域，ｄｅｎ姆对象的ｄ－．ｆｓｄａｔａ
域以及ｆｉｌｅ对象的ｐｒｉｖａｔｅ．ｄａｔａ域，可以用来存放从ＶＦＳ传递下来的对象，在过
滤操作完成之后，再从私有数据中取出ＶＦＳ层的对象，跳转到下层的文件系统的

执行流程中。
这样我们可以这样来定义ＭＦＳ的对象：沿用ＶＦＳ层的对象，并在ＭＦＳ文件
系统中初始化这三个对象的同时，把从ＶＦＳ传递下来的ＶＦＳ的对象存放在ＭＦＳ

对象对应的私有域中。

４．３．１ ＭＦＳ的ｉ ｎｏｄｅ垒吉构

在ｍｆＳ ｒｅａｄ ｉＩｌｏｄｅ（ｓｔｍｃｔ ｍｆＳ ｉｎｏｄｅ ｉｎｆｏ，ｉＩｌｏｄｅ）函数中，该函数主要功能初始

化一个ｍＳ的ｉｎｏｄｅ对象，具体实现如下：
①用Ⅵ７Ｓ传递下来的ｉｎｏｄｅ对象来初始化ＭＦＳ文件系统的ｉＩｌｏｄｅ对象，由
ｉｎｏｄｅ Ｃｏｐｙ ａｔｔｒ ａｌｌ（）函数实现，分别被Ⅵ？Ｓ的ｉｎｏｄｅ对象的各个属性赋值给ＭＦＳ
的ｉｎｏｄｅ对象。
②把该Ⅵ７ｓ的ｉｎｏｄｅ对象存放在ＭＦｓ的ｉＩｌｏｄｅ对象的ｕ．ｇｅｌｌ酣ｃ．ｊｐ域中。即
ｉＩｌｏｄｅ－＞ｕ．ｇｅｎ甜ｃ＿—ｊｐ＝Ｖｆ．ｓｊｎｏｄｅ。

４．３．２ ＭＦｓ的ｄｅｎｔｒｙ垒吉构

４９
 电子科技大学硕士毕业论文

在创建一个新ｄｅｌｌ仃ｙ结构的时候，也利用了ｄｅｒｎｒｙ对象的ｄ＿ｆＳｄａｔａ域来存放

ＶＦＳ传递下来的ｄｅＩｌ巧对象，具体实现如下：
①用ＶＦＳ传递下来的ｄ咖对象初始化ＭＦｓ的ｄｅ蛐哕对象，由
ｄｅｌｌ仃ｙ Ｃｏｐｙ－ａ廿Ｌａｌｌ（）函数实现，分别将Ⅵ７Ｓ的ｄｅｌｌ仃ｙ的各个属性赋值给ＭＦｓ的
ｄ咖对象。
②把ＶＦｓ的ｄｅＩｌ缸ｙ对象存放在ＭＦｓ的ｄｅｎ时对象的私有域中，即
ｄｅｒｌｔｒｙ．＞ｄｊ｜Ｓｄａｔａ＝Ｖ蠡Ｌ－ｄｅｎｔ巧。

４．３．３ ＭＦＳ的ｆ ｉ Ｉ ｅ结构

 第四章系统实现

在创建～个新的ｊｃｉｌｅ结构的时候，利用ｆｉｌｅ－＞ｐｒｉｖａｔｅ ｄａｔａ来保存从ＶＦＳ传递
下来的ｆｉｌｅ对象，具体实现如下：

用ＶＦＳ传递下来的６１ｅ对象初始化ＭＦＳ的：ｆｉｌｅ对象，由ｆｉｌｅ』叩ｙ＿ａ啦—ａ１１（）
函数实现，分别将ＶＦＳ的矗１ｅ对象的各个属性赋值给ＭＦＳ的ｆｉｌｅ对象。

把Ⅵ？Ｓ的ｆｉｌｅ对象存放在ＭＦＳ的ｆｉｌｅ对象的私有域中，即６１ｅ．＞ｐｒｉｖａｔｅ ｄａｔａ＝

Ｖｆ啦！ｅ。
虽然ＭＦＳ层在具体文件系统之上，但是ＭＦｓ与具体文件系统之间这些对象

的通信就象在同一层通信一样。在ＭＦＳ中，并没有也不需要对这些对象做相关的

修改，也不需要存储数据，这些都交给下层的具体文件系统去实现。当ＭＦＳ中调
用一个文件操作，它从前的对象中找到进入下一层文件系统的例程，然后执行，。

这些对象原封不动的从ＭＦＳ传递到具体的文件系统中，因此就象在同一层操作一
样。图４．１给出了ＭＦＳ与具体文件系统之间的通信。

图４—１ ＭＦＳ与具体文件系统之间的通信

４．３．４ ＭＦｓ数据对象存在的问题

然后以上的设计可能会导致两个问题：
１）第一个导致的额外问题必须小心的处理，即引用计数ｐｊ。在ＬｉＩ嗽中，当
一个或多个对象引用某个对象的时候，ｍ１１）【提供一种引用计数来跟踪该对象被
引用的次数，允许多个多个对象共享某一个对象。这种机制经常应用于下面的场

景：简化跟踪对象的过程。一旦一个对象被创造出来，就需要记录谁拥有这个对
象，因为其所有者最终必须负责对删除这个对象。而跟踪一个对象的所有权是很

困难的，因为所有权可以从一个对象传递到另一个对象，所以通过引用计数可以
免除跟踪对象的所有权，因为当使用引用计数后，对象自己就拥有自己了，当没

有人再使用它的时候，也就是引用计数为Ｏ了，它就可以自己销毁自己，因此引
用计数是个简单的垃圾回收机制。在ＬｉＩ嗽文件系统中，索引接点、目录项、文
 电子科技大学硕士毕业论文

件对象等对象都有引用计数，ＭＦＳ与下层的文件系统之间的对象的通信，虽然他
们是相当于在同一层之间通信，但毕竟是在两个不同的文件系统之间，一个引用

计数是无法跟着在两个文件系统中被引用的次数的。

对于引用计数问题，分别对索引节点、目录项、文件对象等对象设置两个引
用计数，其中一个是计数ｍＳ文件系统的，另外一个是原来的已经存在的引用计
数，两个引用计数用来区分在两个文件系统之间的引用次数，从而解决同步问题。
２）第二个导致的额外问题是高速缓存【１９１。ＭＦＳ作为一个独立的文件系统，

创建并维护着自己的对象，如超级块、索引接点、目录项、文件对象等，这些对
象都是ｖＦＳ传递来的独立的副本。在没有实现ＭＦＳ的时候，ＶＦＳ和具体的文件

系统之间拥有自己的缓存机制，可以很好的实现页缓存、块缓存、目录项缓存和
索引节点缓存。但是在实现ＭＦＳ之后，ＭＦＳ与ｖＦｓ和具体的文件系统之间是分
开的，独立的拥有自己的对象、引用计数和内存页，这就意味着ＭＦＳ必须管理和

维护这些数据。由于对ＭＦＳ独立性的设计，必然可能会导致在不同层之间的缓存
的不一致。

对于高速缓存问题，根据历史经验，由于在高速缓存中通常认为上层的数据

更权威些，所以在具体的实现在，采用了上层的数据，即当写入磁盘的时候，用
ＭＦＳ中的数据覆盖具体文件系统中对应的数据。

４．４ ＭＦＳ的方法实现

从图２．４可以很清晰的看到文件系统中各个数据结构之间的关系，以及函数
的操作流程图。一个文件系统不仅要有数据对象还要有操作文件和文件系统的函
数。ⅧＳ的函数要实现如下的功能：
１）注册和注销ＭＦＳ文件系统
２１挂载和卸载ＭＦＳ文件系统

３）过滤文件操作
。

下面来分析各种函数的具体实现。

４．４．１注册和注销ＭＦＳ文件系统

当内核被编译时，就已经确定了可以支持那些文件系统，这些文件系统在系
统引导时，在ＶＦＳ中进行注册。如果文件系统是作为内核可装载模块，即ＭＦＳ

文件系统是可以在实际安装时进行注册，并在模块卸载时注销。ＭＦＳ需要初始化

５２
 第四章系统实现

一个ｆｉｌｅ－ｓｙＳｔｅｍ ｔ）Ｉｐｅ结构然后向ＶＦＳ注册。

其中ｎ锄ｅ字段标识文件系统的名字；ｆ．Ｓ－ｎａｇｓ字段标识文件系统类型标志；
ｇｅｔ ｓｂ字段是个函数指针，该函数是在文件系统安装的时候被调用的，用来从磁

盘中读取该文件系统的超级块，生成内存中的超级块对象；ｋｉｌｌ ｓｂ字段是一个函
数指针，该函数用来终止访问该文件系统的超级块；ｏ、Ⅳｎｅｒ字段标识着文件系统

模块对象。
ＭＦＳ向ＶＦＳ注册流程如下：

①初始化ｆｉｌｅ』ｙＳｔ踟ｌ＿ｔ），ｐｅ结构，填充各个字段，如ｍｆｔ咖ｅ所示。
②调用ｒｅ酉ｓｔ虹ｆｉｌｅｓｙｓｔｅｍ（＆ｍ啦ｙｐｅ）函数，将ＭＦｓ文件系统注册到内核
的ｆｉｌｅ ｓｖｓｔｅｍｓ链表中，这样ＭＦＳ就可以被Ⅵ７Ｓ识别。

③当卸载模块的时候，ｕ１１ｒｅ百ｓｔｅ０１ｅｓｙｓｔ锄（＆ｍｆｓ ｆｓ咖ｅ）；就从内核中注销
ＭＦＳ。

４．４．２挂载和卸载ＭＦＳ文件系统

①使用ｍｏｕｎｔ命令把一个ＶＦＳ能够识别的文件系统装载在内核中。ｍｏｕｎｔ命

令将调用ｓｙｓ ｍｏｕＩｌｔ（）系统调用， 由此执行一系列流程，

ｓｙｓ＿ⅡｌｏｕｎｔＯ－＞ｄ吖ｎｏｌ】１１ｔＯ－＞ｇｅｔ ｆＳ ｔｙｐｅＯ．＞…－＞ｒｅａｄｊｕｐｅｒｏ－＞…等。由ｇｅｔ佟ｔｙｐｅＯ
找到我们之前注册．的ＭＦＳ的ｍｆｓ ｆｓ ｔｙｐｅ结构。在函数ｒｅａｄ。＞ｓｕｐｅｒｏ调用

ｔ），ｐｅ中注册的ｍｆ啦蛐Ｏ函数，接着调用ｍｆｎｅａｄ＿ｐｅ“）函数，在此函
ｍｆｓ ｆＳ

数中，将文件系统的安装点的ｄ咖对象与ＭＦＳ文件系统的挂载点对象联系起来，
从而实现文件系统的挂载。
②使用ｕｍｏｕｎｔ命令把ＭＦｓ从系统中卸载。与ｍｏｕｎｔ命令类似，它也将调用

ｓｙｓ啪ｏｕｎｔ（）系统调用，由此执行一系列流程，最终清除文件系统的安装点ｄｅＩｌ仃ｙ

５３
 电子科技大学硕士毕业论文

对象与ＭＦｓ的挂载点对象之间的联系。

４．４．３过滤文件操作

ＭＦＳ文件的操作分别对应于ｉＩｌｏｄｅ对象的ｓ缸ｕｃｔ ｉｎｏｄｅ ｏｐｅｒａｔｉｏｎｓ结构，ｄｅｎ仃ｙ

对象的ｓ饥烈ｄｅｎ缸ｙ ｏｐｅｒａｔｉｏｎｓ结构，ｆｉｌｅ对象的ｓ仃ｕｃｔ ｆｉｌｅ ｏｐｅｒａｔｉｏｎｓ结构，
ａｄｄｒｅｓｓ ｓｐａｃｅ对象的ｓｔｍｃｔ ａｄｄｒｅｓｓ ｓｐａｃｅ ｏｐｅｒａｔｉｏｎｓ结构【ｌ】。他们构成了ＭＦＳ的
大部分文件操作方法。

我们在初始化ｉｎｏｄｅ、ｄｅｌｌ蚵、ｆｉｌｅ、ｉｎｏｄｅ的ｉ』印ｐｉｎｇ对象的时候分别对这
四个字段进行赋值操作。具体实现如下：

ｉｎｏｄｅ对象的ｉｎｏｄｅ ｏｐｅｒａｔｉｏｎｓ字段，该字段存放的是与索引节点相关的操作。

该字段是在ｍｆｓ ｒｅａｄ ｉｎｏｄｅ（）函数中初始化，当创建了一个新的ｉｎｏｄｅ的时候，需

要将该ｉｎｏｄｅ数据从磁盘读入内存，而对于ＭＦＳ而言是没有磁盘映象的，它是把

ＶＦＳ的ｉｎｏｄｅ对象赋给ＭＦＳ的ｍｏｄｅ。ｉＩｌｏｄｅ．＞ｉ ｏｐ＝ｍｆｓ ｉ１１０ｄｅ ｏｐｓ，并将缺省文件

操作字段也赋值，ｉｎｏｄｅ．＞ｉ ｆ．ｏｐ＝ｍｆＳ ｆｉｌｅ ０ｐｓ；

ｄｅＩｌｔ巧对象的ｄｅｌｌ仃ｙ ｏｐ酬ｉｏＩｌＳ字段，该字段存放的是与目录项相关的操作，。
该字段是在ｍｆｓ １００ｋｕｐ（）函数中初始化的，当打开一个文件的时候，需要搜索该

文件的路径的时候，从而需要初始化一个ｄｅＩｌ竹对象。ｄｅｌｌ时＞ｄ ｏｐ＝

ｍｆ；—４ｅｎｔｒｙ』ｐｓ；
ｆｉｌｅ对象的ｆｉｌｅ ０ｐｅａｒｔｉｏｎｓ字段，该字段存放的是与文件相关的操作。该字段

是在ｍｆｓ ｄｅｎ仃ｙ ｏｐｅＩｌ（）函数中初始化的，从而创建一个新的ｆｉｌｅ对象，它是由

ｍ６ ｏｐｅＩｌＯ打开一个文件的时候被调用的。

ｆｉｌｅ一＞ｆ－ｏｐ＝ｆｏｐ啪ｅｔ（ｉｎｏｄｅ一＞Ｌｆｏｐ），ｆｉｌｅ的ｏｐ字段来自于对应的ｉｎｏｄｅ对象。
ｉｎｏｄｅ对象的ｉ ｍａｐｐｉｎｇ字段，它是页高速缓存ｓ缸ｕｃｔ ａｄｄｒｅｓｓ ｓｐａｃｅ对象，该
字段存放的是对高速缓存中的页进行的操作，。该对象的ａｄｄｒｅｓｓ Ｓｐａｃｅ ｏｐｅｒａｔｉｏＩｌｓ

字段是在ｍｆＳ ｒｅａｄ ｉｎｏｄｅ（）函数中初始化的，当创建一个新的ｉｎｏｄｅ并对它进行初

始化时，对其赋值。ＩＩｌｏｄｅ－＞ｉ』印ｐｉｎ哥＞ａＪｐｓ＝ｍ咖ｐｏｓ；
ｓ咖Ｃｔ ｉｎｏｄｅ ｏｐ耐ｉｏｎｓ ｍｆｓ ｍｄｅ ｏｐｓ的实现方法如表格４．１所示：

表４．１ ｉｎｏｄｅ的ｉＩｌｏｄｅ ０ｐｅ船ｔｉｏｎｓ对象的实现

字段 值 说明
Ｃｒｅａｅ ｍｆ．ｓ ｃｒｅａｔｅ 建立ｉｎｏｄｅ的操作

１００ｋｕｐ ｍｆＵｏｏｋｕｐ 搜索ｉｎｏｄｅ的操作

 第四章系统实现

１ｉｎｋ ｍｆＳ ｌｉｎｋ 建立ｉｎｏｄｅ的硬链接操作

ｕ１１ｌｉＩｌｌ（ ｍｆｓ ｕｌｍｎｋ 取消ｉｎｏｄｅ的硬链接操作

ｓｙｍｌｉｌｌｌ（ ｍｆ．ｓ．Ｓ洲ｉＩｌｋ 建立ｉｎｏｄｅ符号链接操作

ｒｅｎａｍｅ ｍｆＩｓ舰锄ｅ 更改ｉｎｏｄｅ文件名操作

ｐ咖１１ｓｓｌｏｎ ｍｆＩｓ＿ｐｅｒｍｉｓｓｉｏｎ 更改ｉｎｏｄｅ权限操作

ｓｅｔａｔｔｒ ｍ盘ｓｅｔａ珩 设置ｉｎｏｄｅ属性操作

ｇｅｔａｔｔｒ ｍｆ．ｓ．ｇｅｔａｔｔｒ 取得ｉｎｏｅ属性操作

１ｉｓｔａｔ竹 ｍｆｓ １ｉｓｔａｔ竹 显示ｉｎｏｄｅ属性操作

ｓ仃ｕｃｔ矗１ｅ』ｐｅｒａｔｉｏｎｓ ｍｆ．ｓ．』１ｅ－０ｐｓ的实现方法如表格４－２所示：

表４．２ ｆｉｌｅ的ｆｉｌｅ ｏｐｅ均ｔｉｏｎｓ对象的实现

字段 值 说明

１ｓｅｅｋ ｍｆＳ １ｓｅｅｋ 设置文件读写位置操作

ｒｅａｄ ｍｆ．Ｓ ｒｅａｄ 读文件操作

ｗｒｉｔｅ ｍｆＳ ｗ打ｔｅ 写文件操作

ａｉ０ ｒｅａｄ ｍｆ．ｓ ａｉｏ ｒｅａｄ 异步读文件操作

ａｉｏ、Ⅳｒｉｔｅ ｎ１蠡ａｉ０ ｗｒｉｔｅ 异步写操作
ｒｅａｄｄｉｒ ｍｆｓ ｒｅａｄｄｉｒ 读目录操作
ｉｏｃｔｌ ｍｆｓ ｉｏｃⅡ 控制操作

ｍｍａｐ ｍｆＳ ｍｍａｐ 内存映射操作

ｏｐｅｎ ｍｆ．Ｓ—ｏｐｅｎ 打开文件操作

ｎｕｓｈ ｍｆＳ ｎｕｓｈ 刷新文件操作
ｌｏｃｋ ｍｆｓ ｌｏｃｋ 锁住文件操作

ｓ讹ｃｔ ｄｅｌｌ缸ｙ ０ｐｅｒａｔｉｏ∞ｍ蠡＿－－ｄ锄时．．ｏｐＳ的实现方法如表格４—３所示：

表４．３ ｄｅｌｌ缸ｙ的ｄｅｎ奶，－ｏｐｅｒａｔｉｏｎｓ对象的实现

字段 值 说明

ｄ ｈａＳｈ ｍｆＳ ｄ ｈａｓｈ ｄ咖的ｈａＳｈ操作

蜘ｎｌｐａｒｅ ｍｆＳ ｄ ｃｏｍｐａｒｅ 目录项的比较操作
ｄ ｒｅａｌｅａｓｅ ｍｆＳ ｄ ｒｅａｌｅａｓｅ 释放目录项操作
ｄ ｄｅｌｅｔｅ ｍｆｓ ｄ ｄｅｌｅｔｅ 删除目录项操作

疋咖Ｕｆ ｍｆｓ ｉ ｐｕｔ 减少目录项引用数操作

５５
 电子科技大学硕士毕业论文

表４—４ ｉｍａｐｐｉｎｇ的ａｄｄｒｅｓＳ＿印ａｃｅ－叩ｅｒａｔｉｏｎｓ对象的实现

字段 值 说明

ｗｎｔ印ａｇｅ ｍｆ．Ｓ－ｗｒｉｔ印ａｇｅ 写页操作

ｒｅａｄｐａｇｅ ｍｆ．Ｓｊｅａｄｐａｇｅ 读页操作

ｓｙｎｃ＿Ｊａｇｅ ｍｆ．Ｓ＿ｓｙｎｃ－Ｊａｇｅ 进行Ｉ／Ｏ数据的传输

ｗＴｉｔｅｐａｇｅｓ ｍｆｓ ｗｒｉｔ印ａｇｅｓ 把指定数量的所有者的

脏页写回磁盘

ｒｅａｄｐａｇｅｓ ｍｆｉＪｅａｄｐａｇｅｓ 从磁盘中读所有者页的

链表

ｐｒｅｐａｒｅ ｗｎｔｅ ｍｆ．Ｓｊ）ｒ印ａｒｅ ｗｒｉｔｅ 为写操作做准备

ｃｏＩ】姗ｉｔ、Ⅳｒｉｔｅ ｍｆ．Ｓ ｃｏｎｌｍｉｔ、Ⅳｒｉｔｅ 完成写操作

ｂｍａｐ ｍｆ．ＳＪｍａｐ 从文件块索引中获取逻

辑块号

这些方法的构成了一个文件系统的主体文件操作方法，在实现这些方法的同
时，可以添加其他的功能。ＭＦＳ将其实现一个过滤的功能，如果想监控上述的某

个文件操作行为，往里面添加一个过滤的流程即可；如果不想监控某个文件操作
行为，可以不需要添加过滤操作，ＭＦＳ将直接转发到下层的文件系统操作流程中
去。
 第四章系统实现

ｍｆｓ ｒｅａｄ（）函数的实现流程如下：
获取ＶＦＳ层的ｆｉｌｅ对象。为了能在过滤操作之后能返回到下层的具体文件系

统，必须要获取从ｖＦｓ传递下来的ｆｉｌｅ对象，即１０ｗｅｒ－ｆｉｌｅ对象，而该对象是在
创建ＭＦｓ的丘ｌｅ对象的时候保存在ｆｉｌｅ对象的ｐｄｖａｔｅ』ａｔａ域中的，由

ｇ哎Ｊｄｖａｔｅ』ｌｅ函数实现。
由ｆｉｌｔｅｒ ｏｐｅｒａｔｉｏｎ（）函数实现过滤功能。
该函数的实现流程如下：

①由ｆｉｌｔｅｒ ｐｒｏｃｅｓｓ ｈａｓｈ（）函数以当前进程的进程号为关键字从进程信息ｈａＳｈ

列表中获取需要被监控进程的信息。如果存在，则说明当前进程是被监视进程。
 电子科技大学硕士毕业论文

如果不存在，则返回。

②由６１ｅｒ』ｌｅ■ａｓｈ（）函数以当前正在操作的文件句柄为关键字从关键文件
ｈ础列表中获取关键文件信息。如果存在，则说明当前文件是需要被监视文件。
如果不存在，则返回。

③对比进程信息和关键文件的权限，如果进程的权限能访问关键文件，则将
访问操作记录在日志队列中。如果不允许，则返回。

④通过保存的下层对象，来调用下层具体文件系统的方法，通过

１０ｗ吐ｆｉｌｅ一＞￡－０ｐ一＞ｒｅａｄ（）方法回到下层具体文件系统的流程中，并传递给ＶＦＳ的
ｆｉｌｅ对象作为参数。

将过滤操作的日志信息写如日志队列中，由、砸ｔｅ ｌｏ甙）函数实现。
通过诸如此类的文件操作过滤操作，实现文件系统的监控功能。

４．５通信模块的实现

通信模块在用户监视模块和ＭＦＳ模块之间传递数据，包括从用户监视模块传

递给ＭＦＳ模块的配置数据和ＭＦＳ模块传递给用户监视模块的日志数据，所以本
模块一共有两个功能：从用户空间传递数据和从内核空间传递数据。

４．５．１从用户空间传递数据

该功能把配置信息写入到／ｐｒｏｃ文件系统【２８】中，然后通知ＭＦＳ模块来读取，
实现流程如下如下：

１）从用户监视模块获取配置信息，通过ｓｅｎｔ印ｎｆｉｇｊｎｆｏ（）写入到由ＭＦＳ模
块通过ｃｒｅａｔｅ－ｐｒｏ哟ｌ仃ｙ（）建立的／ｐｒｏｃ的一个文件中。
２）异步通知ＭＦＳ模块来获取配置信息。

４．５．２从内核空间传递数据

该功能把日志信息写到共享内存中，然后通知用户监视模块来读取。实现流
程如下：

１）从ＭＦＳ的日志队列中获取日志信息，通过ｓｅｌｌｄｊｏｇ＿ｉｎｆｏ（）写入到由ＭＦＳ
模块通过ｇｅｔ＿舶ｅ』ａｇｅｓＯ创建的一块共享内存中。
２）异步通知用户监视模块来读。

５８
 第四章系统实现

４．６本章小结

本章主要介绍了基于Ｌｉｎｕｘ内核驱动的文件系统监控系统的具体实现。系统
分为三部分实现：用户监视模块由ＬＩＮＵＸ的提供的ＡＰＩ实现，提供配置和展示

功能；ＭＦｓ模块由ＬｉｎｕＸ内核可加载内核模块实现，实现一个文件系统，并挂载
了系统的具体文件系统之上，提供过滤文件操作系统出功能；通信模块由ＬＩＭ ｒｘ
提供的ＡＰＩ实现，提供异步Ｉ／Ｏ和异步通知的功能。

５９
 电子科技大学硕士毕业论文

第五章系统测试

本章主要介绍对ＭＦＳ文件系统的功能和性能进行测试，首先介绍测试的环境，

然后描述对ＭＦＳ的功能测试以及性能测试。

５．１测试环境

测试环境如下表５．１所示。：
表５—１测试环境

ＣＰＵ ｉｎｔｅｌ Ｃｏｒｅ２ Ｄｕｏ ＣＰＵ Ｔ６４００ ２．ＯＯＧＨＺ

硬件环境 内存 ２Ｇ

硬盘 ２５０Ｇ ＳＡｒＡ

操作系统 Ｒｅｄ Ｈａｔ Ｅｎｔｅ印ｒｉｓｅ Ｌｉｎｕｘ Ｓｅｒｖｅｒ ｒｅｌｅａｓｅ ５．４

内核版本 ２．６．１８

软件环境 ｇｃｃ版本 ｇｃｃ ＶｅｒＳｉｏｎ ４．１．２ ２００８０７０４（Ｒｅｄ Ｈａｔ ４．１．２—４６）

文件系统 ｅｘｔ３

权限 ｒＯＯｔ

５．２将ＭＦＳ文件系统挂载到内核中

（１）加载ｍｆＳ内核模块
捕ｎｓｍｏｄ ｍｆｓ．ｋｏ

该命令加载１妯模块到内核中。
（２）挂载文件系统
托ｏｕｎｔ．ｔ ｍｆ．ｓ．ｏ ｄｉｍｏｍｅ／ｔｅｓｔ ｎｏｎｅ／ｈｏｍｅ／ｍｆ．Ｓ
该命令将ＭＦＳ文件系统挂载在ｍｏｍｅ／ｍｆＳ目录下，挂载点是ｅＸｔ３文件系统下
的／ｈｏｍｅ／ｔｅｓｔ目录。

（３）查看加载结果。图５。１给出了加载之后的结果。
 第五章系统测试

图５．１显示系统中所有文件系统

从图５．１可以看到，在图的最后一行的中有一个新的文件系统类型ｍｆｓ挂载
在／１１０ｍｅ／ｍｆｓ目录下，挂载点是／ｌｌｏｍｅ／ｔｅｓｔ。由图我们可以知道，ＭＦＳ文件系统作

为一个被内核识别的文件系统挂载在内核中。

５．３功能测试

ＭＦＳ文件系统的主要作用就是监控文件的操作以及控制非法操作。在功能测

试中，把对文件的操作进行记录；对指定的特殊文件的操作进行限制，并记录在
日志中。

５．３．１监控操作的测试

监控文件系统中对文件的操作，并记录到日志中。
以增加和删除一个在ＭＦＳ文件系统挂载的／１１０ｍｅ／ｍｆｓ下的目录为例子，写一

个测试小程序来增加和删除一个目录。

６ｌ
 电子科技大学硕士毕业论文

执行命令：

撑ｇｃｃ—ｃ ｔｅｓｔ．ｃ ｔｅｓｔ＆＆．／ｔｅｓｔ

杏看系统日志中的豁控结果，图５．２给出了监控结果。

图５－２显示监控结果

从图５．２中，可以查看的到，ｐｉｄ为３９６４的进程，执行命令为ｔｅｓｔ，该进程用
户号是Ｏ，执行的操作分别是创建文件夹ｔｅｓｔ和删除文件夹ｔｅｓｔ。

５．３．２控制操作的测试

根据进程的权限以及特殊文件的安全性，来控制某些进程对需要保护的文件

进程的访问操作。
以ｂａＳｈ下执行Ⅵｍ访问ＭＦＳ文件系统挂在的／１１０ｍｃ／ｍ矗下的ｔｅｓｔ．ｃ为例子。

在进程的访问控制表中添加一项目，添加咖对ｔｅｓｔ．ｃ文件的访问权限为０ｘＯｏｏ，
设置为了禁止读／写／执行该文件，即禁止啊ｍ对ｔｅｓｔ．ｃ文件的一切操作。
 电子科技大学硕士毕业论文

我们分别在ｍｆＳ和ｅｘｔ３文件系统上测试读了１个１ＫＢ大小的文件１０２４木１０２４

次所需要的时间，然后在读了１个１ＭＢ大小的文件１０２４次所需要的时间。两次
读的数据量是相同的。表５．３给出了读文件对比时间。
表５．３文件系统读文件数据测试
文件系统 读文件所需要的时间
１０４８５７６木１ＫＢ １０２４幸１Ｍ
础 ３．８４ｓ ５．９１ｓ

ｍｆｓ ４．１１ｓ ６．０３ｓ

５．４．２写文件测试

我们分别在ｍ自和ｅＸｔ３文件系统上测试写了１个１ＫＢ大小的文件１０２４掌１０２４

次所需要的时间，然后在写了１个１ＭＢ大小的文件１０２４次所需要的时间。两次

写的数据量是相同的。表５－４给出了写文件的对比时间。
表５．４文件系统写文件数据测试
文件系统 写文件所需要的时间
１０４８５７６枣１ＫＢ １０２４木１Ｍ
ｅｘｔ３ ３４．３５ｓ ２９．１２ｓ
ｍ矗 ３５．４７ｓ ３０．５８ｓ

５．４．３性能测试总结

读文件的时候，由于ｍｆＳ与ｅＸｔｅ３都对读取的数据进行了缓存，所以在这两个
文件系统的读操作在性能上相差无几。

在写文件的时候，由于ｍ蠡是堆叠在ｉｎｏｄｅ节点上的，而且要执行数据的拷贝，
所以与ｅｘｔ３相比，ｍｆｓ开销的时间更多。

由上述的性能测试的结果可以看出，在性能上，ｍｆｓ并不会花费很多额外的开

销，相比它提供的功能来说，这点开销完全可以忽略不计。
扣
 第五章系统测试

进程名 文件名 权限（读／写／执行）执行

Ｖｌｍ ｔｅＳｔ．Ｃ Ｏｘ０００

执行命令：
撑Ｖｉｍ／ｈｏｍｅ／ｍｆＳ／ｔｅｓｔ．ｃ

查看执行结果。图５．３给出了控制结果，图５－４给出了监控结果。

图５．３显示控制结果

图５－４显示监控结果

从图５－３可以知道，Ｖｉｌｌｌ被禁止访问ｔ鹤ｔ．ｃ文件。从图５－４可以查看，记录着
ｂａｓｈ下执行的们ｍ进程访问ｔｅｓｔ．ｃ文件，但是没有权限访问该文件。

５．３．３功能测试总结

从测试结果可以得出，ＭＦＳ文件系统可以很好的实现了文件系统的文件操作
的监控功能和进程访问文件权限的控制功能。

５．４性能测试

由于ＭＦｓ文件系统挂载在ｅＸｔ３文件系统上，而ｅＸｔ３作为１ｉｎｕＸ的主流文件系 ．０．－’７。
统，所以我们将ｅＸｔ３作为评测ｍｆｓ性能的参考标准。将对ｍｆｓ和ｅＸｔ３进行读、写
文件的性能测试。

５．４．１读文件测试
 第六章总结与展望

第六章总结与展望

６．１总结

本文设计并实现了一个基于ＬｉｎｕＸ内核驱动的文件系统监控，用于过滤文件

系统的操作，并提供日志分析功能。其中最重要的模块ＭＦＳ模块是基于
ＳＦＳ（Ｓｔａｃｋａｂｌｅ ＦｉｌｅＳｙｓｔｅｍ）开发的，最主要目标是根据用户提供的关键文件列表对

这些关键文件进行实时的监控，并记录日志。用户可以根据需要选择想要进行监
控的关键文件。

ＭＦＳ模块是基于“ｎｕｘ内核可加载模块技术，把ＭＦＳ动态的加载在Ｌｉｎｕ）【

内核的ｖＦＳ和具体文件系统之间，接收从ＶＦＳ传递下来的文件操作流程，根据
提供的关键文件列表，在ＭＦＳ模块中实现过滤操作，在过滤操作完成之后，返回

到正常的文件操作流程中。实践证明，ＭＦＳ具有良好的易用性和可移植性。
虽然ＭＦＳ使用基于ＳＦＳ的方案是可行的，由于Ｉｊｎｕ】【内核的ＶＦＳ子系统在

设计的时候并没有把ＳＦＳ考虑在内，所以并没有给ＳＦＳ提供很好的支持，因此存
在一系列相关的问题需要解决，从而可以提高ＭＦＳ的可靠性和高效性。

６．１．１缓存一致性

ＳＦｓ有两个缓存一致性问题：

①数据缓存一致性【９】

通常，每个文件系统维护一组页来作为页缓存，在理想情况下，所有更改的

数据都经过上层文件系统。因此，无论是上层文件的写ｉＩｌｏｄｅ操作或者读ｐａｇｅ操
作都将数据通过文件系统的缓存机制，通过文件系统再读或写下层的页面中（或者

是磁盘）。当数据不识别ｓＦｓ的缓存机制的时候，就会直接写入到下层页面，没有
经过ＳＦＳ的缓存，从而导致ＳＦＳ中的数据的不一致性。

②元数据缓存数据一致性【９】
类似于页缓存，内核的索引节点缓存和目录项缓存也存在元数据不一致性问
题。

对于ＳＦＳ可能存在的一致性，有两种方法来解决：
①参照ＮＦｓ文件系统解决一致性的问题。ＮＦＳ在使用缓存数据之前要进行相
 电子科技大学硕士毕业论文

应的断言，如果断言失败，则缓存的数据无效，而其中的一个断言是对缓存的时

间进行比较，任何可能过时的缓存数据将无效。
②另一个解决方式是修改ＶＦＳ和ＶＭ子系统，告知ＳＦＳ上的数据被系统修

改过。要实现这种方式，要涉及维护较低的ＶＦＳ对象的指向上层的指针。
想比较这两种方式，第一种方式简单、实用，而第二种方式需要修改ＶＦＳ和

ⅥⅥ子系统，不适合可本系统的移植性和扩展性的要求。

６．１．２锁机制

由于ＳＦｓ在执行文件操作的时候，需要锁定很多递归方式调用的ＶＦＳ对象，

这可能引起潜在的死锁警告，内核的锁验证机制当发现新的加锁机制对现行的规
则不利的时候就会引起警告信息。如ＶＦＳ调用ｖｆｓ ｒｅａｄｄｉ“）以调用一个目录，采

取了ｍｕｔｅＸ来实现互斥，而它可能会调用下层的ＳＦＳ的ｓｆｓ ｒｅａｄｄｉｒＯ，而ｓｆＳ ｒｅａｄｉｒ（）

也有可能调用了ｍｕｔｅｘ来实现互斥，这就可能引起潜在的死锁，将引起内核锁验
证机制的警告。

解决这一问题的方式是在ＳＦＳ中添加一个参数，并此向内核锁机制传递ｓＦＳ
文件系统之间的层次结构关系，从而避免锁验证警告的出现。

６．１．３内核支持

ＳＦＳ中存在的问题，都是因为内核的其他子系统不识别ｓＦＳ导致的，在ＬｉｎｕＸ
２．６．２０内核中，增加了一个新的文件ｆｓ／ｓｔａｃｋ．ｃ，它提供了很多有用的方法来帮助

ＳＦＳ解决这些问题。

６．２展望

基于Ｉ，ｊｎ＿１１）【内核驱动的文件系统监控系统存在着不少有待改进和完善的地

方，但是由于其本身具备良好的可扩展性，可以在后续的开发中继续完善和做更
深入的研究。
随着系统技术的不断发展，文件系统的安全技术也必将得到快速的发展，相

信未来的的文件系统将集成系统监控、加密和解密、病毒检测等更多安全功能，
从而更好出保护文件系统中数据的安全。。
 致谢

致谢

在毕业论文即将结束之际，向关心、教导、帮助我的老师、同学以及家人表

示深深的感谢。
首先，向我的导师左志宏教授表示由衷的感谢。在研究生二年多时间，他在

学习和科研上对我严格要求，让我的学习能力和专业知识得到了很大的提升，成
为一名合格的硕士毕业生。从论文选题、撰写到论文修改，导师都为我指定了很

好的课题研究方向和提供了大量的文献，为我提出了很好的建议，这篇论文也凝

聚了导师的汗水。导师渊博的知识、严谨治学态度、平易近人的处事方式给我留
下深刻的印象，我的成长离不开导师的教诲、鼓励和帮助。在此，向我的导师表

示最真挚的敬意！
感谢电子科技大学的李毅教授、卢显良教授等老师，他们的渊博的知识和严

谨的治学风格让我在计算机海洋中找到了兴趣。同时还要感谢课题组的巩佳知和
聂向倩同学，正是他和我一起完成了这个课题，和他们一起学习、交流让我收益

颇丰。还要感谢我的同窗们，他们让我的生活和学习丰富多彩。
感谢我的家人，他们一直用最无私的爱来关心和支持我的学业，让我安心的

学习，我才能顺利的读完研究生。
最后，再一次祝每一个关心我和帮助过我的人身体健康、工作顺利。

６７
 电子科技大学硕士毕业论文

参考文献

【ｌ】 Ｄａｎｉｅｌ Ｐ．Ｂｏｖｅｔ，Ｍ盯ｃｏ Ｃｅｓａｔｉ．Ｕｎｄｅｒｓｔａｌｌｄｉｎｇ Ｔｈｅ“肌ｘ Ｋ册ｅ１．Ｔｈ埘Ｅｄｉｔｉｏｎ．ＵＳＡ：ＯＲｅｉｌｌｙ

Ｍｅｄｉａ．２００７：３２８．３７ １．

【２】 Ｊｏｎ砒姐Ｃ０ｒｂｅｔ舢ｃｓｓａＩｌｄｒｏ Ｒｕｂｉｎｉ，Ｃｇｒｇ跏ａｌｌ－ＨａｎＩｎ姐．ｍｕｘ Ｄ州ｃｅ脯ｖ粥．Ｔｈ砌

Ｅｄｉｔｌｌｏｎ．ＵＳＡ：ＯＲｅｉｌｌｙ Ｍｅｄｉａ．．２００６：２ １—２３４．

【３】 Ｍａ谢ｃｅ Ｊ．Ｂａｃｈ．ｎｅ Ｄｅｓ啦ｏｆｍｅ ＩＤ似０ｐｅｒａｔｉｏｎ Ｓｙｓｔ锄．ＵＳＡ：Ｐｒ吼ｔｉｃｅ ａ１１．２００５：７０－１０８．

【４】Ｒｏｂｒｔ ＬＯＶｅ．Ｌｉ肌ｘ Ｄ如１０ｐｍｅＩｌｔ．Ｓｅｃｏｎｄ Ｅｄｉｔｉｏｎ．ＣｌｌｉＩｌａ ＭａｃｈｉＩｌｅ ｒ铭ｓ．２００６：２０９－２３４．
Ｋｃ＝ｎｌｅｌｅ

［５】 Ｍｅｌ ＧｏｒＭ锄．Ｕｎｄｅｒｓｔ锄ｄｉｎｇ １１１ｅ ｍｕ）‘Ｖｍａｌ Ｍ锄ｍｏｒｙ Ｍａｎａｇｅ．ＵｓＡ：Ｐｒ锄ｔｉｃｅ Ｈａｌｌ．２００６：

［６】 Ｗ．砌ｃｈａｒｄ Ｓｔ溯ｌｓ，Ｓｔｅｐｈ饥Ａ．Ｒａｇｏ．ＡｄａＩｌｃｅｄ Ｐｒ０伊嬲ｕｎｉｎｇ ｉ１１ ｔｌｌｅ ＵＮⅨｅＩｌＶｉ珊ｍ∞ｔ．ＰＯＳＴＳ

＆ＴＥＬＥＣＯＭ ＰＲＥＳＳ．２００８：２８９．５４５． ．

【７］ ｏｓｅｆ Ｓｉｐｅｋ，Ｙｉ眦ｎｉｓ Ｐ甜ｃｌｅｏｕｓ，ＥＤｅｚ ｚａｄｏｋ．Ｋ￡釉ｅｌ Ｓｕｐｐ哪矗盯Ｓｔａｃｋａｂｌｅ Ｆｉｌｅ Ｓｙｓｔｅｍｓ．

ｈｔｔｐ：／＾＾用确ｒ ｆｉｌ懿弘ｔｅＩｎｓ．ｏｒ：鲋ｏｃｓ／ｓｉｐｅｋ－０ｌｓ２００７他ｄｅｘ．ｈ乜ｎ１．２００７

【８】 Ｅｒｅｚ ｚａｄｏｋ．ｗＨｔｉｎｇ Ｓｔａｃｋａｂｌｅ ＦｉｌｅｓｙＳｔｅＩｎｓ．ｈ婶：／，ｗ、棚，ｌｉｎｕｘｊｏｕｍａｌ．ｃｏＩＩｌ／缸ｉｃｌｅ／６４８５．２００３

［９】 Ｅｒｅｚ ｚａｄｏｋ，Ｉｏｎ Ｂａｄｕｌ骼ｃ１１．Ａ Ｓｔａｃｋａｂｌｅ Ｆｉｌｅ Ｓｙｓｔ锄ＩＩｌｔｅｒｆａｃｅ Ｆｏｒ Ｌｉｎｌｌｘ．

ｈｔｔｐ：∥、）ｌ，、）ｌｒｗ．ｆｉｌｅｓｙｓｔｅｍｓ．ｏ礓／ｄｏｃｓ／ｌｉＩ瞰－ｓｔａｃｌ（ｉｎ咖ｄｅｘ．ｈ仃ｎ１．
【１０］Ｐｉ锄勰ＪｕａＩｌ，Ｃｏｒｔｅｓ １＇ｏｎｉ，Ｇａｒｃｉａ Ｊｏ嚣Ｍ．ＤｕａｌＦｓ：Ａ ｎｅｗｊｏｕｍａｌｉｎｇ ｆｉｌｅ ｓｙｓｔ锄谢ｔｈｏｕｔ
ｍｅｔａ—ｄａｔａ ｄｕｐｌｉｃａｔｉｏｎ．Ｐｒｏｃｅ甜ｉｎｇｓ ｏｆ ｍｅ ｈｌｔ锄ａｔｉｏｎａｌ Ｃｏｎ岛Ｉ饥ｃｅ ｏｎ Ｓｕｐｅ疋锄ｐｕｔｉｎｇ，２００２，ｐ
ｌ ３７．１４６．

［１１】Ｅ．Ｚａｄｏｋ，Ｊ．Ｎｉｅｈ，“ＦｉＳＴ：Ａ Ｌ趾目ｌａｇｅ ｆ．０ｒ ｓｔａｃｋａｂｌｅ Ｆｉｌｅ Ｓｙｓｔ锄ｓ”，Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆｔｌｌｅ Ａｎｎｕａｌ

ＵＳＥＮⅨＴｃｃｌｌＩｌｉｃａｌ Ｃ０ｎ妇ｌｃｅ，Ｊ岫ｅ ２０００．
【１２】ＨｅｉｄｅＩｎ猢 ＪｏＩｌｈ Ｓ，Ｐ叩ｅｋ Ｇｅ豫ｌｄ Ｊ．Ｆｉｌｅ－Ｓｙｓｔ锄 ｄｅＶｅｌ叩ｍｅｌｌｔ、析ｔ１１ ｓｔａｃｋａｂｌｅ

ｌａｙｅｒｓ．ＡＣＭ．，Ｔｒａｌｌｓａｃｔｉｏｎ８ ０ｎ Ｃｏｍｐｕｔｃｒ Ｓ），Ｓｔｅｍ Ｖ１ ２，Ｉｌ １，Ｆｅｂ，，１ ９９４，ｐ ５８－５９．

【１ ３］Ｅ．ｚａｌ【ｏｌ【＇Ｉ．Ｂａｄｕｌ骼ｃｌｌ，Ａ．ｓｈｅＩｌｄ％“ＥｘｔＩ％ｄｉＩｌｇ Ｆｉｌｅ Ｓｙｓｔ锄ｓ Ｕｓｉｎｇ Ｓｔａｃｋａｂｌｅ Ｔ即１ｐｌａｔｅｓ”，

ＵＳＥＮⅨＣｏｎｆ．ｅｒｅＩｌｃｅ Ｐｒｏｃｅｅｄ：ｉｎｇ（Ｍｏｎｔ哟，＇Ｃａｌｉｆｂｍｉａ），Ｊ吼ｅ １ ９９９

【１４】Ｈｕｉｚｉｎｇａ Ｄｏｒａｔａ ＭＡｍ懿Ｃｌｌｒｉｓ血ｅ．Ｍ０ｂｉｌｅ ｆｉｌｅ ｓｙｓｔ锄 跚ｐｐｏｒｔ谢ｔｌｌ咖ａｌ ｄｅｖｉｃｅ

ｄｒｉＶｅｒｓ．Ｐｒｏｃｅｅｄｉｎｇ ｏｆｔｌｌｅＡＣＭ ｓｙⅡｌｐｏｓｉｕｍ ｏｎＡｐｐｌｉｅｄ Ｃ鲫ｐｕｔｉｎｇ，１９９９，ｐ ３７３—３８１．

【１５】Ｓ、）Ｉ，ｉｆ【Ｍｉｃｈａｄ Ｍ’Ｂｅｒｓｈａｄ Ｂｄａｎ Ｎ，ｋｆｖ），Ｈ％Ｄｒ Ｍ，ＩｎｌｐｏｒＶｉｎｇ ｔｈｅ陀ｌｉａｂｉｌｉｔ）ｒ ｏｆｃ锄ｍｏｄｉｔ），
【１６】叩ｅｒ撕０ｎｇ ｓ），ｓｔ锄ｓ．０ｐｅｒａｔｉｏｎ Ｓｙｓｔ锄ｓ ｌｏｅｖｉ哪（ＡＣＭ），Ｖ ３７，ｎ ５，ＳＯＳＰ’０３：Ｐｒｏｃｅｃｄｉｌｌｇｓ ｎｌｃ １９也
ＡＣＭ Ｓ卿ｏｓｉ啪ｏｎ ｏｐ啪血ｇ Ｓｙｓｔ锄ｓ Ｐ血ｄｐｌｅｓ，２００３，ｐ ２０７－２２２．
６８