关于对QQ聊天记录数据恢复方法的研究.pdfVIP

科 信j息科l学 关于对QQ聊天记录数据恢复方法的研究 李子川 (中国刑警学院计算机犯罪侦查系电子物证司法检验教研室，辽宁 沈阳 110035) 摘 要：QQ作为一款当下流行的即时通讯软件，在方便人们联络的同时，也经常被犯罪嫌疑人所利用。QQ聊天记录成为了侦破案件的重要线 索或电子物证 ，因此数据恢复技术引起了许多调查人员和学者的广泛关注。提出了一种利用文件结构特征关键字对QQ聊天记录进行数据恢复的 方法，旨在为数据恢复工作提供新的思路 。 关键词：QQ；数据恢复；结构化存储结构 引青 由此可知**55325是与 表 l查询表这式十六进制转换表 通讯技术的迅猛发展改变了人们的生活方 MsgE~db对应的QQ号 芰丽 要 _F ☆J孚 Encase软件查询表达式 式，同时，也为违法犯罪分子提供了新的犯罪空间 码，获得这两个信息后， 4D ＼xGO~6．l 00Xx74LxO0、x72 00ix69~xO0＼ M 曲 和手段。QQ作为互联网中常用的交流软件，方便 就可以利用QQ聊天记 2E0064006200 x78 O吼x2E O(Lx64~O0 62~x00 了人们的沟通，同时也成为犯罪人员越来越倚重 录辅助工具进行查看 S~Msg 5300790073004D0073006700 、x53 0。W 9 吼x73 00Lx4D 0a 73~--00＼ x67 O0 的通讯手段。以其为联络J：具的各类新型犯罪活 了。由图1中的P6记录 540065006D00700053006500 54 O0)65 00 6[3彻 LxTO 0 x53螂 、 动不断增多，造成的危害越来越大。由于留在计算 可以看出，恢复得到的 TernpSessionMsg 7300730069006F006E004D00 机上的QQ聊天痕迹能够为案件的侦破提供重要 聊天文件并不都以Ms— 730067O0 ! 9 ! 线索或电子证据，犯罪人员会将重要数据进行删 gE~db命名，由于该记 除，这给侦查工作带来很大困难。所以，通讯数据 录中的文件名被覆盖， 的恢复技术受到了广泛关 。基于Windows操 只能用NONAME暂时 作系统中被删除的文件只是在文件的属性区域的 代替，这也佐证了使用 属 信息的起始位置做了个删除标记，而事实上 文件名进行查询的不确 t驰∞∞∞∞ ∞n 文件的数据部分没用被马上变动，这为 QQ记录 定性。若恢复出来的聊 图 1利用文件结构特征字段名作为关键字搜索的部分结果 的恢复工作提供了可能。本文通过提取QQ聊天 天记录文件已不在 由其 _0轧∞ ∞ x_’ 0**q鲰 m q5- 记录文件结构特征关键字对其进行搜索并恢复， QQ号码命名的文件夹 Ⅲ1