转:电子取证中AVI文件的文件雕复

电子取证中AVI文件的文件雕复

收藏本文 分享

1引言在电子取证工做中,恢复数字设备中被删除的数据是极为重要的工做之一,恢复数据又分依赖系统元信息的传统数据恢复技术和不依赖系统元信息的文件雕刻。文件雕刻思想是指,在自动或最小的人工干预的条件下,从一个数字“平面”上“雕刻”出某些文件的“形状”。这种思想的出现源于,当系统元信息不可信任或被损坏时,会致使数据区全部文件数据变得无差异以致于没法识别,只能采用基于文件的结构特征和内容特色的文件雕刻技术在这“无差异”数据区中“雕刻”出文件。由此,基于文件雕刻思想进行数据恢复的技术简称为文件雕复。对视频AVI文件进行取证时,常常遇到即便在无覆盖风险的状况下,恢复出来的视频也是不完整的。缘由在于传统的数据恢复技术经过系统元信息进行的数据恢复不具备数据侦测能力,一旦系统元信息不完整,即便数据仍保留在数字设备中,也没法恢复。没有了可依赖的系统元信息,咱们惟一能够作的就是利用AVI文件的结构特征和内容特色,在“无差异”的数据区中侦测每一个“未分配”的数据簇,判断它们是否是咱们指望获得的视频碎片数据。在一个忽视系统元信息的环境中,如何侦测到每一个AVI文件碎片,并将它们有序衔接起来,这就是本文研究的重点。2文(本文共计5