基于多層次數(shù)據(jù)恢復(fù)的計(jì)算機(jī)取證技術(shù)研究與實(shí)現(xiàn).pdf

1、近年，計(jì)算機(jī)技術(shù)的迅速發(fā)展和廣泛普及，改變了人們傳統(tǒng)的生產(chǎn)、生活和管理方式，同時(shí)也為違法犯罪分子提供了新的犯罪手段和空間。以計(jì)算機(jī)信息系統(tǒng)為犯罪對(duì)象和工具的新型犯罪活動(dòng)越來越多，面對(duì)大量的計(jì)算機(jī)犯罪活動(dòng)，傳統(tǒng)取證模式已不能滿足辦案需求，司法或相關(guān)取證部門需要運(yùn)用先進(jìn)的計(jì)算機(jī)取證技術(shù)，以便順利提取存在于計(jì)算機(jī)系統(tǒng)中的電子證據(jù)，包括已被刪除、加密或破壞的文件等。
　　 本文研究的主題是基于多層次數(shù)據(jù)恢復(fù)的計(jì)算機(jī)取證技術(shù)。針對(duì)數(shù)據(jù)恢復(fù)

2、的層面，筆者提出了兩種恢復(fù)技術(shù)的研究，一是基于應(yīng)用軟件層的數(shù)據(jù)恢復(fù)研究，二是基于文件系統(tǒng)層的數(shù)據(jù)恢復(fù)研究。所謂應(yīng)用軟件層的數(shù)據(jù)恢復(fù)，即是對(duì)某些特殊的文件做分析，解讀文件內(nèi)蘊(yùn)含的重要信息，恢復(fù)出被犯罪嫌疑人刪除的作案痕跡、證據(jù)等。文件系統(tǒng)層的數(shù)據(jù)恢復(fù)，顧名思義，即是從文件系統(tǒng)結(jié)構(gòu)入手，研究文件系統(tǒng)刪除文件的機(jī)制，從而找到恢復(fù)已刪除文件的方法。結(jié)合這兩個(gè)層次的數(shù)據(jù)恢復(fù)技術(shù)，能夠從多個(gè)角度更全面的挖掘并恢復(fù)被刪除的數(shù)據(jù)。針對(duì)應(yīng)用軟件層的數(shù)據(jù)恢

3、復(fù)研究，筆者以研究Thumbs.db文件格式為例，研究出了怎樣在應(yīng)用軟件層，恢復(fù)已刪除圖片的縮略圖。并開發(fā)出Thumbs.db文件分析軟件，通過分析隱藏的系統(tǒng)文件Thumbs.db，可以瀏覽并保存該文件中記錄的包括已刪除圖片在內(nèi)的所有圖片的縮略圖信息。針對(duì)文件系統(tǒng)層的數(shù)據(jù)恢復(fù)研究，主要以NTFS文件系統(tǒng)為基礎(chǔ)，研究怎樣在文件系統(tǒng)層恢復(fù)被用戶刪除的文件。特別將物理上離散存儲(chǔ)的MFT文件記錄的完整掃描以及如何恢復(fù)文件目錄關(guān)系作為研究重點(diǎn)，并