Windows系统中文件级数据恢复方法分析研究.pdfVIP

2014年 4月 皖西 学 院学 报 Apr．，2014 第 30卷第 2期 JournalofWestAnhuiUniversity Vo1．30 No．2 Windows系统中文件级数据恢复方法分析研究 徐仙伟，杨雁莹，曹 霁 (南京森林警察学院信息技术系，江苏 南京 210023) 摘 要：随着信息安全与计算机存储技术的发展，数据恢复技术已成为当前的研究热点。主要从Windows操作系统的应用 角度出发，对其环境下的数据恢复方法进行了深入的分析与研究。重点分析了两种数据恢复方法——基于文件系统的数据恢复 算法与基于文件特征的数据恢复算法，分析 了算法的实现方法，给出了数据恢复流程，并通过理论与实验分析得出结论。 关键字：数据恢复；文件系统；文件特征 中图分类号：TP309．3 文献标识码：A 文章编号 ：1009—9735(2014)O2一OO24一O4 0 前言 究数据丢失的原因、预防办法、解决的思路以及实际 随着信息技术和信息产业的发展，计算机和网络 恢复过程中存在的问题和相应的解决措施，最终实现 已经渗透到我国政治、经济、军事、科技、文化等各个 对各类数据资源的恢复，同时尽可能地保证数据恢复 领域 。与此同时，计算机犯罪呈逐年递增的趋势，通 效率的最大化。 常由于计算机犯罪具有犯罪主体专业化、犯罪行为智 目前数据恢复的解决方案主要分为软件恢复、硬 能化、犯罪客体复杂化、犯罪对象多样化、危害后果隐 件恢复2种。其中硬件恢复包括硬件替换、元器件修 蔽等特点，使得计算机犯罪明显有别于传统的刑事犯 复以及盘片数据读取3种恢复方式[4]。软件恢复分 罪[1]。因此，构建全面有效打击各种计算机犯罪的数 为系统级恢复与文件级恢复。系统级恢复：主要针对 据恢复、计算机取证技术已成为当前研究的热点。 不同操作系统环境下出现的操作系统不能启动、分区 2012年 3月，《刑事诉讼法 (草案)》通过 了第 8 找不到或打开时提示未格式化等现象提出的恢复方 次修订，明确把电子证据列为第8类证据，诸如贪污、 法，这类问题的解决主要依赖于各操作系统中使用的 渎职、赌球、软件侵权、网络盗号、短信诈骗、私H~fib 文件系统类型，需依据不同文件系统的组织结构原 挂、网络电子传销等案件，都离不开电子取证及鉴定。 理，常应用存储介质底层编辑工具，如 Winhex16位 而针对恶意删改数据、恶意损坏存储载体致使数据丢 磁盘编辑器进行系统级数据恢复，通过分析与修正系 失的取证技术——数据恢复取证，更是凭借其 “补救 统中各类参数信息，确保系统的正常使用。文件级恢 性”“针对性”“权威性”等特点，成为检察机关最重视 复：主要是针对存储介质上各分区或卷中的某个应用 的一种 电子证据调查取证手段_2]。 文件或用户创建的文件遭遇丢失的情况，如 DOC文 数据恢复技术是信息安全技术和计算机存储技 件丢失等。 术发展到一定阶段的产物，是在数据发生丢失或破坏 本文主要从软件恢复的角度出发，着重对硬盘中 后各种恢复需求下诞生的，是一种跨硬件平台和软件 文件级数据恢复方法进行分析对 比，即以Windows 系统的特殊计算机技术，整合了现有所有的计算机数 操作系统为平台，对其环境下用户数据进行分析，分 据存储技术 ]。其应用 目的不仅包括恢复出失去的 别采用基于文件系统和文件特征的数据恢复方法进 重要数据，使当事人的数字财富免受损失，更重要的 行研究，同时进行理论与实验对比分析。 是，能针对各种各类犯罪行为而展开的司法意义上的 数字化取证工作，