基于IOS缩略图文件的数据恢复研究和开发.docVIP

基于IOS缩略图文件的数据恢复研究和开发 　　摘 要： iPhone Operating System（IOS）的缩略图文件（后缀为ithmb）保存了图像的重要信息，通过解读其数据结构能够恢复出已删除图片的缩略图，从而为IOS移动设备的调查取证提供关键的证据和线索。分析了ithmb文件的作用，结合BMP文件格式阐述了利用ithmb文件来恢复出缩略图的原理，开发出ithmb分析软件实现缩略图的恢复。 　　关键词： IOS取证； ithmb； 缩略图； 文件恢复 　　中图分类号：TP309 文献标志码：A 文章编号：1006-8228（2015）05-19-03 　　Abstract： iPhone Operating System （IOS） thumbnail file which has a suffix of ithmb saves the important information of image， through the interpretation of the data structure， the image deleted thumbnails can be restored， so as to provide key evidence and clues for the investigation of IOS mobile devices. This paper analyses the use of ithmb file， and combining with BMP file format， describes how to restore the image data by using the ithmb file， then describes the development of the ithmb analysis software to realize the recovery of thumbnails. 　　Key words： IOS forensics； ithmb； thumbnail； file recovery 　　0 引言 　　随着智能终端的发展以及数字通信网络的普及，移动设备已经成为当今社会人们不可或缺的工具。苹果公司的iPad、iPhone等IOS设备凭借其亲切的人机交互能力和丰富的应用，成为备受欢迎的主流移动设备。越来越多的实际案例显示，当犯罪嫌疑人使用这些移动设备进行犯罪，并且在这些移动设备中留下大量的信息，那么这些信息往往能对犯罪案件的侦破提供重要线索和证据。因此，对移动设备进行电子取证已经得到越来越广泛地关注[1-3]。 　　在设备的应用软件层中，许多应用程序为了缓存或者管理某些数据，通常会把这些数据的相关信息写到指定的特殊文件中，即使这些数据被用户删除了，相应的特殊文件中仍保留这些数据的信息[4]。在IOS中，ithmb文件便是这样一种特殊文件，虽然用户删除了图片数据，但ithmb文件保存了图片数据的缩略图信息。本文以iPhone为例，提出对ithmb文件进行提取并恢复出缩略图数据的方法，该方法可以为IOS设备取证提供技术支持。 　　1 IOS缩略图文件的作用 　　为了加速图片显示，IOS定义了缩略图文件（ithmb）。用户打开IOS设备查看照片时，可以快速地浏览照片的缩略图，这就是ithmb文件发挥的作用。 　　ithmb是IOS系统的专用扩展名，当IOS设备开机时，ithmb文件就会被创建。当用户拍摄或保存新的照片时，ithmb文件将随之更新。ithmb文件保存了照片软件中图片的缩略图数据， 可缓存的图像文件的格式包括jpeg，bmp，png，mp4等。然而不管原始图片数据采用何种格式，所有图像文件的缩略图都以bmp格式进行保存。虽然ithmb文件的设计从用户角度而言是为了提高查看图片的速度，但从数字取证的角度来说，ithmb文件的存在，为恢复删除图片的缩略图提供了可能。 　　2 IOS缩略图数据恢复方法 　　2.1 ithmb文件结构 　　ithmb文件保存了图片的缩略图数据及其信息，但无法直接打开，其文件结构如表1。 　　经过分析，ithmb文件采用的是16位bmp图片格式，但仅有数据区，无法查看图片，因此需要通过添加文件头的方式实现缩略图的恢复，而这必须要知道缩略图的尺寸。在IOS7前，ithmb直接以像素尺寸大小命名，如32*32ithmb代表缩略图对应的尺寸为32*32像素。从IOS7开始，苹果公司隐藏了像素尺寸信息，而用类似3303ithmb的文件名命名。因此必须首先分析出不同的ithmb文件名所代表的含义。 　　以3303ithmb文件为例，用ultra edit打开文件并以十六进制方式查看。经观察发现，