字节顺序在计算机取证中的应用.pdfVIP

字节顺序在计算机取证中的应用 刘浩阳 大连市公安局网警支队 我们知道一个基本存储单元可以保存一个字节，每 一、字节顺序 个存储单元对应一个地址。对于大于十进制255（16进 制0xff）的整数，需要多个存储单元。例如“汉”字的 计算机科学中，字节顺序（Endianess）是内存中 字节（有时候是位）排列方式，用以表示不同种类的数 Unicode编码是0x6C49，需要两个字节。不同的计算 据。操作系统并不负责指定字节顺序，而是CPU的编码 机系统使用不同的方法保存这两个字节。在我们常用的 模式指导操作系统执行。因此字节顺序是基于CPU技术 PC机中，低位的字节0x49保存在低地址的存储单元， 的。字节顺序问题的实质是计算机系统对于多字节的表 高位的字节0x6C保存在高地址的存储单元；而在Sun工 现方式，在计算机取证中，数据可能会被保存在内存 作站中，情况恰恰相反，0x49位于高地址的存储单 中、磁盘上，还有可能正在进行网络传输。在获得这些 元，0x6C位于低地址的存储单元。前一种就被称为大 信息后，有必要知道他们的字节顺序后才能对其进行解 端（LittleEndian），后一种就是小端（BigEndia 码，不幸的是，计算机系统并没有采用一个统一的编码 n）。大端（bigendian）和小端（littleendian）是 方式。当计算机系统存储和传输数据时，不同的字节顺 CPU处理多字节数的不同方式。那么写到磁盘上时，究 序编码方式对于信息将是一个问题。例如，截获网络传 竟是将6C写在前面，还是将49写在前面？如果将 输的信息，可能只能截获中间一部分信息，这时候就有 0x49写在前面，就是小端（littleendian），将0x6C写 必要知道字节顺序，以进行解码。 在前面，就是大端（bigendian）。 PoliceTechnology 2012年第2期 43 位地址里。这就意味着计算机中的某些计算可以变得更 二、大端和小端 加简单和快速。 “endian”这个词出自《格列佛游记》。小人国 由于不同CPU对字节顺序保存方式的不同，多字节 数值的存储结构取决于字节顺序。字节顺序的差别将导 的内战就源于吃鸡蛋时是究竟从大头（Big-Endian） 致计算机系统数据翻译的不同结果，也就是说同一文件 敲开还是从小头（Little-Endian）敲开，由此曾发生过 六次叛乱，其中一个皇帝送了命，另一个丢了王位。 在不同字节顺序的机器上编码方式不同。也意味着解码 在那个时代，作者斯威夫特（Swift）是在讽刺英方式也不同，例如任何时候计算机访问数据流（网络数 据包，本地文件、音频流、视频流等多媒体流），计算 国和法国之间的持续冲突，Danny Cohen，网络协议 的早期开创者，第一次使用这两个术语来指代字节顺 机必须要知道文件是如何构成的。 序，后来这个术语被广泛接纳了。我们一般将 三、字节顺序在计算机取证中的应用 endian翻译成“字节顺序”，将big endian和little endian称作“大端”和“小端”。 很多情况下，我们需要对数据进行分析，但是由于 Big-Endia和Ln ittlE e n