NTFS格式存储设备数据恢复方法研究.pdfVIP

剐 技术 2015年 第40卷 第1期 ForensicScienceandTechnology ·论 著 · DOI：10．16467／j．1008—3650．2015．01．012 NTFS格式存储设备数据恢复方法研究 徐 国天 (中国刑事警察学院网络犯罪侦查系，沈阳110854) M ethodsforFileRecoveryonNTFSFileSystem XUGuo-tian(DepartmentofNetworkCHminalInvestigation,NationalPoliceUniversityofChina,Shenyang110854chin) ABSTRACT：ObjectiveInpractice．suchsituationsareoftenencounteredthatthefileshavenotbeenrestoredbecauseofthe incorrectrecoverytoolsand／orvariedrestoringmethods．Inthispape~ threedatarecovery modesusedwithNTFS storage devicewereallalyzedandtheireffectsweretestedandcompared．M ethodsForthesameNTFSstoragedevice．weusedNTFS loginspection softwaredevelopedfrom previousresearchtotesttherecoverychoicebasedonNTFSlogfile，utilizedthe quickscanfunctionofFinalDatatotesttherecoverychoicebasedonMFT-andusedtheufU scanfunctionofFina1Datato testtherecovery choicebasedoncharacteristicvalue．Finallywecomparedtheeffectofthethreechoicesandanalyzedtheir recovery principles．ResultsTherecovery choicesbasedonNTFSlogfileandMFTcouldobtaincomprehensiveinofrmation butwerenotsuitableforfilesdeleted1ongbefore．ThoughtherecoverychoicebasedOHcharacteristicvalueplayedpooreffect onrestoringeitherthenon—contiguousfilesorthefilenamesandfile．creatingtime，itcouldrestorethefilesdeletedlongbefore albeittimeconsuming．ConclusionsThreemethodscanbeappliedincaseworkwiththeirintegrativeutilization． KEYWORDS：digita1forensics；NTFS；$LogFile；MFT；characteristicvalue；restoration 摘要 ：目的 研究NTFS存储设备的3种数据恢复方式，测试、比较不同方式的恢复效果，促进电子物证检验 工作。方法 本文针对 同一NTFS存储设备，分别使 自行设计的NTFS日志检验软件测试基于NTFS日志文件 的恢复方式，使用FinalData的快速扫描功能测试基于MFT记录的恢复方式，使用FinalData的完整扫描功能 测试基于文件 头部存储特征值的恢复方式，比较 3种方式的恢复效果，分析各 自的恢复原理。结果 基于NTFS 日志和MFT记录的方式恢复出的信息较全，用时较短 ，但不适合恢复较长时间之前删除的文件。基于文件头 部存储特征值的方式可恢复较长时间前删除的文件，但用时长，不能恢复文件名、创建时间等信息，也不能有 效恢复离散存储的文件。结论 结合 实际情况、综合运用3种方式可有效恢复数据。 关键词 ：电子物证 ；NTFS；日志 ；MFT；特征值 ；恢复 中图分类号 ：DF793．