归档文件雕复方法的研究

摘要

随着信息技术的不断发展，数据恢复作为计算机取证的关键技术是打击高科技信息犯罪的有力武器。传统的数据恢复技术面临着如何恢复遭到不可抗力或反取证技术等各种因素破坏的磁盘数据这一难题。文件雕复技术作为一种不依赖于文件系统元信息的数据恢复技术，有效弥补了传统数据恢复技术的不足，并成为计算机取证领域新的研究热点。
　　 归档文件是广泛用以储存、传输和压缩数据的文件格式之一，它将多个数据文件组合成一个更易于存储和携带的单一文件，归档文件也自然成为一种计算机取证领域中重要的证据文件。因此对归档文件雕复技术的研究在计算机取证领域变的至关重要。本文从分析现有文件雕复技术的入手，通过充分挖掘归档文件内部结构和数据内容特征，研究基于结构和内容的归档文件雕复方法。通过对比实验的方法表明了本文提出的基于结构和内容的归档文件雕复方法的可行性和优越性。
　　 首先，本文对现有的文件雕复技术进行了全面的分析与总结，如文件头/文件尾雕复方法、文件头/最大长度雕复方法、基于文件结构的雕复方法、基于块内容的雕复方法、基于映射函数的雕复方法、基于图论的雕复方法、二分片雕复方法、原地文件雕复方法和零存储雕复方法和Smart雕复方法等，并总结了现有雕复技术各自的优越性和局限性，最后给出了现有文件雕复技术所面临的挑战及今后的发展方向。
　　 其次，本文通过对归档文件内部格式、数据内容的理解及压缩策略等全方面的分析，将归档文件分为非固实压缩归档文件和固实压缩归档文件两类。深入挖掘分析两类归档文件在结构和内容层面的特征，提出了非固实压缩文件局部二分片，非关键部位数据损坏或丢失及残存数据的雕复问题的解决办法，提出固实压缩文件二分片及非关键部位数据损坏或丢失的雕复问题的解决手段。
　　 再次，提出一种基于结构和内容的非固实压缩归档文件雕复算法总体框架，利用映射函数来定位归档文件中一个文件的文件头和文件尾，利用数据长度来鉴别被归档文件是否发生分片，利用枚举探测法鉴别数据分片点，利用解压缩的方式验证数据块的正确性，利用文件的内容及结构特征验证文件的完整性和有效性，修复结构残缺或无效的归档文件。本文将非固实压缩文件雕复算法应用于Rar和Zip类文件的雕复。通过在人工数据集和实际磁盘数据集上的对比实验，表明算法在雕复时间、恢复文件数目及雕复准确率三者的综合表现上较其他雕复方法有明显优势。
　　 最后，在研究非固实压缩归档文件雕复方法的基础上，基于固实压缩归档文件结构和内容特征，提出一种固实压缩归档文件雕复方法。同样利用映射函数来定位一个固实压缩归档文件的文件头和文件尾，利用数据长度来鉴别归档数据是否发生分片，通过观察滑动窗口熵值变化以及枚举解压来定位分片点，借助结构及内容层面的特征来验证固实压缩归档文件的完整性和有效性，通过解压测试寻找最多可解压数据的方式解决文件非关键部位损坏或丢失问题。本文将固实压缩文件雕复算法应用于7z类文件的雕复。解决了7z文件二分片，非关键部位数据损坏或丢失的雕复问题。通过在实际磁盘数据集上的对比实验，表明本雕复算法与同类算法相比具有更好的自动性和准确性。
　　 综上，本文针对现有文件雕复技术存在的问题，提出了基于文件内部结构和数据内容特征的归档文件雕复方法，并通过实验证明其可行性和有效性。本文的研究成果为进一步发展文件雕复技术提供了新思路，也为实现实用的文件雕复系统打下基础。

目录

文摘

英文文摘

第1章 绪论

1.1 研究背景

1.2 国内外相关研究现状

1.3 论文的研究目的和意义

1.4 论文的主要工作及组织结构安排

1.4.1 主要工作

1.4.2 组织结构安排

第2章 文件雕复技术概述

2.1 传统数据恢复

2.2 文件雕复方法

2.2.1 文件头/文件尾雕复方法

2.2.2 文件头/最大长度雕复方法

2.2.3 基于文件结构的雕复方法

2.2.4 基于块内容的雕复方法

2.2.5 基于映射函数的雕复方法

2.2.6 基于图论的雕复方法

2.2.7 二分片雕复方法

2.2.8 原地文件雕复方法和零存储雕复方法

2.3 Smart雕复

2.3.1 预处理

2.3.2 整理

2.3.3 重组

2.4 进一步研究的问题

2.5 结论

第3章 归档文件

3.1 前提及概念定义

3.2 非固实压缩归档文件

3.2.1 结构特征

3.2.2 局部二分片

3.2.3 拟解决的问题

3.3 固实压缩归档文件

3.3.1 结构特征

3.3.2 二分片

3.3.3 拟解决的问题

3.4 结论

第4章 非固实压缩归档文件雕复方法

4.1 雕复算法框架

4.1.1 预处理

4.1.2 映射函数

4.1.3 鉴别器

4.1.4 分片处理

4.1.5 验证器

4.2 基于结构和内容的Rar文件雕复方法

4.2.1 Rar文件特征

4.2.2 Rar文件雕复流程

4.2.3 实验与分析

4.3 基于结构和内容的Zip文件雕复方法

4.3.1 Zip文件特征

4.3.2 Zip文件雕复流程

4.3.3 实验与分析

4.4 结论

第5章 固实压缩归档文件雕复方法

5.1 雕复算法框架

5.1.1 预处理

5.1.2 映射函数

5.1.3 鉴别器

5.1.4 分片处理

5.1.5 验证器

5.2 基于结构和内容的7z文件雕复方法

5.2.17z文件特征

5.2.27z文件雕复流程

5.2.3 实验与分析

5.3 结论

第6章 总结与展望

6.1 本文工作总结

6.2 今后工作展望

致谢

参考文献

附 录