HFS+删除文件恢复技术

随着MAC OS的广泛使用,MAC OS的取证技术得到了取证专家的高度重视。删除文件恢复技术一直是取证技术中的一项重要内容,HFS+文件系统作为目前MAC OS的主流文件系统,其删除文件的恢复技术更是数据恢复专家研究的重点。目前,HFS+删除文件的恢复主要是日志型数据的恢复,即基于日志中存储的B树中的叶子节点信息进行恢复。该方法具有快速、精确的特点。但是,该方法忽略了日志中存储的索引节点信息,因此恢复效果不是很理想。文章提出了一种快速、精确的HFS+删除文件的恢复技术,该技术不仅可以快速地恢复出被删除的文件,并且和现有的从日志中进行恢复的算法相比还可以恢复出更多的删除文件。     

基于可拆分倒排索引的可搜索加密方案

为快速检索云环境下的加密数据,提出了一种高效的适用于批量数据处理场合的可搜索加密方案。首先,由客户端创建两个倒排索引,分别是存储了文件-关键词映射的文件索引和用于存储关键词-文件映射的空的搜索索引;然后,将这两个索引提交给云服务器。搜索索引是在用户检索过程中由云端根据搜索凭证和文件索引逐渐更新建立的,记录了已被检索关键词的检索结果,该方法将搜索索引的构建时间有效分摊了到了每次检索过程中并节省了存储空间。索引采用基于key-value结构的集合存储方式,支持索引的同时合并和拆分,即在添加和删除文件时,由客户端根据要添加或删除的文件集生成对应的文件索引和搜索索引,然后服务器对索引进行合并和拆分,从而实现文件的快速批量添加和删除。测试结果表明,所提方案极大提高了文件更新的效率,适用于批量数据处理。通过泄露函数证明了该方案能满足自适应动态选择关键词攻击下的不可区分性安全标准。     

XENIX系统误删文件的恢复

在XENIX系统中，常因使用rm命令而不慎将文件误删的情况，只要没人使用系统建立新文件，删除的文件是可以恢复的。因为rm命令只是把文件在文件系统中的i节点（inode）信息清除，而文件的正文信息与数据信息占据的磁盘块还未被清理。XENIX文件系统有如下结构当文件被删除时，其占据的磁盘块被依次压栈到空闲块索引表（freeblocklist）的顶部。索引表位于文件系统超级专用块（superblock）的2号块首端，我们只要从索引表里找出这些块号，填入i节点区内，重构文件的i节点，可使被删除的文件得以恢复。下面以scoxenixVrelease2．3．2的根文…     

怎样用Delphi7实现文件粉碎

当用户删除文件时,其实操作系统并未将该文件从存储介质上真正删除,而仅仅是在文件分配表中将该文件的相关信息删除,并将该文件的存储空间标记为可写,所以被删除的文件通常可以用一些文件恢复工具进行恢复.     

ExFAT文件格式及数据恢复分析

对于文件恢复,通常是利用文件内容的地址和文件大小两个参数,找到文件的内容后进行相应的复制。在对移动存储设备的ExFAT文件格式进行了详尽的分析后,发现在连续存储的数据文件被删除时,只对文件对应的属性表和簇位图表进行了改变,从而给出了恢复数据的方法——修改特征法,给出了对应的五个公式,并通过实验证明了这种方法的有效性。     

ExFAT文件格式及数据恢复分析

对于文件恢复,通常是利用文件内容的地址和文件大小两个参数,找到文件的内容后进行相应的复制。在对移动存储设备的ExFAT文件格式进行了详尽的分析后,发现在连续存储的数据文件被删除时,只对文件对应的属性表和簇位图表进行了改变,从而给出了恢复数据的方法——修改特征法,给出了对应的5个公式,并通过实验证明了这种方法的有效性。     

支持关键字更新的基于属性可搜索加密方案

针对云存储环境中重要通知、广播消息、数据共享等敏感性较高的数据访问控制需求,提出和设计出一种适用于云存储环境支持关键字更新的可搜索加密方案。方案中的文件明文采用基于属性的加密算法,可以实现文件密文只加密一次就可被多个用户私钥搜索,避免了针对不同用户数据拥有者需要多次加密的问题,降低了网络开销。但是现有的基于属性的可搜索加密方案无法实现文件索引的更新,针对此问题,采用带计数器的布隆过滤器对文件关键字进行处理,能够允许用户在索引密文中添加或者删除关键字,实现文件索引的动态更新,提高了检索效率。给出方案的正确性分析、安全分析以及效率分析。分析结果表明:文件索引和陷门经过带计数器的布隆过滤器并进行向量加密后,的确能够实现增加和删除关键字;采用对称加密的思想对文件和索引进行加密后,明文和索引也都是安全的;通过与其他方案的计算量和适应性对比,可以发现方案的计算量较低,适应性强。     

改进的高效动态可搜索加密方案

为解决云存储环境下加密数据的安全检索问题,对现有算法进行改进,提出一种高效且安全的可搜索加密方案。该方案利用哈希链表构建三个索引表：文件索◢引表γ▼f▽、搜索索引表γ▼w▽、删除索引表γ▼d▽,后两者是在每次搜索过程中根据搜索凭证和访问格式逐渐建立的,有效分摊了总的搜索时间,且关键词二次搜索的时间消耗为常量。为提高◣更新效率,与原算法相比,增加了删除索引表,测试结果表明,改进后的方案删除操作的时间消耗一般可减少30%~60%。通过泄露函数证明在更新过程中不会泄露访问格式外的更多信息,安全性较高。     

支持文件动态更新的基于属性可搜索加密方案

针对云存储环境中重要通知、消息广播、数据共享等敏感性较高的数据访问控制需求,提出和设计一种云存储环境中支持文件动态更新的可搜索加密方案。方案中的文件明文采用基于属性的加密算法加密,将密文与私钥和属性相关联,可以非常灵活的表示访问控制策略,大大降低了数据共享细粒度访问控制所带来的网络带宽和发送节点的处理开销,可以实现文件只加密一次就可被多个用户私钥搜索,避免了针对不同用户需要多次加密的问题。但是现有的基于属性的可搜索加密方案无法实现文件的动态更新操作,针对此问题,采用对称可搜索加密的思想来建立索引,这种通过数组和链表来来存储索引信息的方式可以实现只搜索一次就可以获得包含此关键字的所有文件,无需逐个文件进行遍历,所以具有较高的搜索效率。并通过添加额外删除数组、列表,实现了文件的动态更新,可以增加或者删除密文文件。最后给出了方案的安全性分析和性能分析,并与几种类似的索引建立方案进行了对比,对比发现本方案搜索效率高,索引长度较少,实现了文件的动态更新还能达到更高的安全级别（CKA-2）,具有更好的应用性和扩展性。     

被删除文件的快速恢复方法

要想恢复被删除的文件和目录，一般人员只能使用PCTOOLS工具软件的磁盘命令U但是PCTOOLS的启动速度比较缓慢，操作起来又相当繁琐，为此笔者编制了一个可快速恢复被删除文件的实用程序。我们都知道，DOS在使用DEL、RD命令删除文件和于目录时，只破坏了文件分配表FAT并将文件目录表FDT中的文件名首字符修改为ESH而FDT表的其余部分如文件的属性、文件的长度、文件的首簇号及文件的生成日期时间等信息均未被破坏，这给我们快速准确地恢复被删除文件提供了便利条件．程序首先利用程序段前缀PSP的格式化参数区获得命令行参数，然…     

SANYO数码相机中被删除视频的恢复

MP4文件由一系列段组成,每个段的开头有1段长和段名,各占4字节,第1个段总是ftyp段,最重要的是mdat段,视频内容在此段,其数据关系在moov段,free段是空闲内容,用于填补数据簇。实验研究发现,SANYO数码相机拍摄MP4视频数据时的存储不连续,根据段分割为5个部分。根据MP4文件形成轨迹,结合MP4文件的结构可以恢复删除的视频文件。     

A security carving approach for AVI video based on frame size and index

Recovery of fragmented files is an important part of digital forensics. Video files are more likely to be fragmented since their sizes are relatively large that recovering video files without the file system information is meaningful. This paper presents a video recovery technique of a fragmented video file using the frame size information in every frame and the index. Many existing video recovery techniques attempt to recover videos using file system information or header/footer flag. These approaches may fail in the situations which the file system information is unknown or videos are fragmented. The proposed method addresses how to extract AVI file fragments from data images and map all the extracted fragments into original order. Experiments result show that mapping the AVI fragments according to the frame size information in every fragment and index is credible and the non-overwritten part of the fragmented video can be recovered using the method.     

在PPT课件中嵌入视频文件的制作技巧

在PPT课件中使用普通方法链接的视频,如果把视频源文件删除后,链接到PPT课件中的视频就无法播放了。本文通过把视频文件转换成.swf格式文件,再利用Shockwave Flash Object控件,把.swf格式文件嵌入到PPT课件中,真正实现了视频文件的嵌入。     

一种网络视频监控系统的专用存储方案

针对网络视频监控系统中传统文件系统存储方案存储效率低和检索性能差的缺陷,提出一种基于裸磁盘设备的录像存储方案。根据监控系统的数据存储特点,采用B＋树管理录像段索引信息,设计一种磁盘逻辑存储结构,并给出一种基于图像组的数据缓存机制。系统测试结果表明,与传统的文件系统存储方案相比,该方案在监控系统的512Kb／s和1Mb／s典型存储码率下,录像存储效率分别提高了43．6％和30．3％,录像检索耗时降至35ms以下。     

Multimedia file forensics system exploiting file similarity search

With the fast increase of multimedia contents, efficient forensics investigation methods for multimedia files have been required. In multimedia files, the similarity means that the identical media (audio and video) data are existing among multimedia files. This paper proposes an efficient multimedia file forensics system based on file similarity search of video contents. The proposed system needs two key techniques. First is a media-aware information detection technique. The first critical step for the similarity search is to find the meaningful keyframes or key sequences in the shots through a multimedia file, in order to recognize altered files from the same source file. Second is a video fingerprint-based technique (VFB) for file similarity search. The byte for byte comparison is an inefficient similarity searching method for large files such as multimedia. The VFB technique is an efficient method to extract video features from the large multimedia files. It also provides an independent media-aware identification method for detecting alterations to the source video file (e.g., frame rates, resolutions, and formats, etc.). In this paper, we focus on two key challenges: to generate robust video fingerprints by finding meaningful boundaries of a multimedia file, and to measure video similarity by using fingerprint-based matching. Our evaluation shows that the proposed system is possible to apply to realistic multimedia file forensics tools.

     

基于EXT4文件系统的数据恢复方法研究

研究EXT4文件系统中删除文件的恢复方法对计算机取证工作有重要意义。文章研究了在EXT4文件系统中通过日志中的备份信息进行数据恢复的方法。采用了实例式研究方法,分析了EXT4文件系统中extent树的构成,分析了文件被删除之后extent树的变化,研究了通过inode编号定位inode结点所在数据块的方法,研究了通过日志恢复被删除文件的方法。文章得出的结论是在日志文件和删除数据未被完全覆盖的情况下,可以通过日志有效恢复EXT4文件系统中被删除的文件。文章的研究成果可以应用在公安机关的电子数据鉴定工作中,也可用于公安院校的《电子物证检验》课程教学。     

基于EXT3文件系统数据恢复方法的研究

文章研究了基于日志文件的EXT3文件系统数据恢复方法,采用实例式研究方法,首先分析了EXT3文件系统中文件构成和文件被删除之后inode结点的变化;接下来研究了通过inode编号定位inode结点所在数据块的方法,以及通过日志恢复被删除文件的地址指针和文件名称的方法;最后介绍了通过地址指针和文件名将若干个地址空间中的数据合并成一个文件的方法。最终得出的结论是在日志文件和删除数据未被完全覆盖的情况下,可以通过日志有效恢复EXT3文件系统中被删除的文件。该研究成果可应用于公安机关的电子数据鉴定工作,也可作为公安院校的《电子物证检验》课程。     

基于MVC的网上学习系统数据库的开发

针对网上学习系统具有互动性、实时性、并发性等特点,采用MVC分层设计模式,使其能适应未来不断变化的需求和扩展。独立设置Web服务器处理页面HTTP请求,FMS服务器处理视频文件的媒体流转换,既可减轻单台服务器的数据处理压力,也使大数据量的视频传输不影响用户的网页浏览。重点分析数据库开发中数据库设计原则、数据库开发流程,以及数据库建表、数据表关联、数据库连接等实现方法。最后对系统进行功能和压力测试,结果表明,系统能支持大用户量和高并发在线学习和即时交流。系统功能完备、实用性强,推广应用将对包括干部培训在内的网络教育的教学和管理起到积极的示范作用。     

面向海量高清视频数据的高性能分布式存储系统

通过对视频监控数据的特点和传统存储方案进行分析,提出一种高性能分布式存储系统解决方案.不同于传统的基于文件存储的方式,设计了一种逻辑卷结构,将非结构化的视频流数据以此结构进行组织并直接写入RAW磁盘设备,解决了传统存储方案中随机磁盘读写和磁盘碎片导致存储性能下降的问题.该方案将元数据组织为两级索引结构,分别由状态管理器和存储服务器管理,极大地减少了状态管理器需要管理元数据的数量,消除了性能瓶颈,并提供精确到秒级的检索精度.此外,该方案灵活的存储服务器分组策略和组内互备关系使得存储系统具备容错能力和线性扩展能力.系统测试结果表明,该方案在成本低廉的PC服务器上实现了单台服务器能同时记录400路1080P视频流,写入速度是本地文件系统的2.5倍.