基于连带效应和过期日志的EXT3文件系统数据恢复方法研究.pdfVIP

ChineseJournalofForensicSciences，2015，No．1TotalNo．78 鉴 定 实 践 ForensicPractice 基于 “连带效应和 “过期 日志的EXT3文件系统 数据恢复方法研究 徐 国天 (中国刑警学院 网络犯罪侦查系，辽宁 沈 阳 110854) 摘 要 ：目的 EXT3文件 系统是 大多数Linux主机的默认硬盘分区格式 ，研 究EXT3文件系统的数据恢复方法对公安机 关的电子数据鉴定工作有重要意义。方法 详细分析 了 “复制”、“删除”动作产生的 日志记录 ，研 究了EXT3日志记录的 “连带效应”．深入分析 了“过期 日志”结构，设计 了事务链式存储结构、inode编号链式存储结构和用于恢复文件的有限状 态机 ．．结果 恢复软件可以直接运行在 Linux主机上 ，通过扫描 日志文件完成恢 复。结论 经过大量实际测试，软件可以有 效恢复 EXT3文件 系统 中的被删数据 。 关键词：连带效应；过期 日志；EXT3；日志 ；恢复 中图分类号：TP274 文献标志码：A doi：10．3969~．issn．1671-2072．2015．01．013 文章编号：167l一2072一(2015)01—0062—05 Researchon theDataRecoveryM ethodBasedon “ImplicatedEfiect” and “ExpiredLog”inEXT3FileSystem XU Guo-tian (DepartmentofNetworkCriminalInvestigation，ChinaCriminalPoliceUniversity，Shenyang110854，China) Abstract：ObjectiveTostudythedatarecoverymethodintheEXT3filesystemfortheuseofdigitalforensics．MethodThe logrecordsof “copy’’and “delete”actionswereanalyzed in detail． “Implicated effect’’and “expired log”were studied．A transaction liststorage structureand afinite statemachinewere designed．ResultTherecovery software designed in the researchcandirectlyurnontheLinuxhostandcompletetherecovery basedonthelogrecords．ConclusionThesoftwarehas beentestedascapableofrestoringthedeleteddataintheEXT3filesystem． Keywords：implicatedeffect；expiredlog；EXT3；log；recovery． 随着操作系统技术的快速发展，Linux系统得到了 化 ．整个数据块都将被复制到 日志文件中，在这个备 不断完善，它变得更加稳定、安全和易于使用 ，其用户群 份数据块中除了包含发生变化的数据部分 ，还包含没 由传统的大型服务器转向个人用户．越来越多的个人用 有变化的数据 ，即这些数据也被 “连带”记录到 日志文 户选择在 自己的主机上安装Linux操作系统。随着使用 件中。本文设计的恢复软件可以挖掘 “连带”数据中有 Linux的用户不断增多 ．利用Linux系统从事的犯罪活动 价值的信息，实现最大限度 的数据恢复。 也在增多。大多数Linux主机的硬盘分区采用EXT3格 EXT3文件系统恢复方法大多基于 日志文件 ，当 式，在嫌疑人使用的Linux主机硬盘中可能