NTFS文件系统中的视频数据恢复方法.pdfVIP

第36卷 第2期 计 算 机 工 程 2010年 1月 Vo1．36 No．2 ComputerEngineering January2010 ·开发研究与设计技术 · 文章编号2010文献标识码sA 中圈分类号。T 2 NTFS文件系统中的视频数据恢复方法 黄步根 ，刘建军 ，张晓南 江苏警官学院公安科技系，南京210012；2．南京市公安局网警支队，南京210005) 摘 要：在NTFS文件系统中，视频监控文件在形成过程中被分割成大量非常小的块进行存储 ，通过多个索引表形成整个文件，删除该文 件后，主索引表被丢弃，但扩展属性中的索引表还存在。针对该问题，提出根据文件的扩展属性恢复数据的方法，通过整合大量分散存储 的碎片，能够恢复被删除的视频文件的大部分内容。 关键诃：数据恢复；视频监控；NTFS文件系统 RecoveryMethod0fⅥdeoDatainNTFSFileSystem HUANGBu·gen，LIUJian-jun，ZHANGXiao-nanz (1．DepartmentofForensicScience，JiangsuPoliceInstitute，Nanjing210012； 2．DepartmentofNetworkPolice，NanjingMunicipalPublicSecurityBureau，Nanjing210005) [AbstractlIntheNTFSfilesystem，videomonitorfileisdividedintoalargenumberofverysmallblockforstorage，theentirefileisformedby theindextables，themainindextableismissingwhenthefileisdeleted，butohterindexatblesexistintheextendedattributes．Thispaperproposesa methodofrrecoveringdatabyhteextendedpropertyaccordingtofile．Thismethodcaneffectivelycombinemnayscatteredrfagmentstogehterna d recovermostofvideomonitordaatwhichhasalreadybeendeleted． IKeywordsldaatrceovery；videomonitor；NTFSfilesystem 视频监控已经广泛应用于各行各业，在案件处理过程中 时间等，文件内容也是一个属性。属性数据较小时能够存放 经常需要用到监控录像，但它们常被人为删除，一般的数据 在 FILE项中，称为驻留的属性，否则为非驻留的属性，通 恢复软件不能对其进行恢复。本文研究NTFS文件系统下监 过索引表来保存其存储位置，如果索引表很大，在一个FILE 控录像的存储结构，提出数据恢复的方法。 项中存储不下，那么可以有扩展属性以增加FILE项来保存。 1 NTFS文件系统的文件存储方式 每个 FILE项由一个整数文件号来标识，从 0开始编号，每‘ 视频监控，由于其数据量较大，一般使用大的硬盘，如 个属性也用一个整数值来标识 ，如Et期属性是0xl0，扩展属 320GB，500GB，划分成2个一3个逻辑分区，大的分区比较 性是 0x20，文件名属性是 0x30，文件内容属性是 0x80。不 适合使用NTFS文件系统。 用扩展属性的文件存储MFT603如表 1所示。 r