计算机取证中的数据恢复技术综述解读.docx

计算机取证中的数据恢复技术综述摘要传统数据恢复已经有很多成熟的技术，通过分析计算机取证中数据恢复技术与传统数据恢复的关系，我们证明了在计算机取证中应用数据恢复技术的可行性，实践也证明了其有效性和重要性。本文主要在介绍和分析磁盘在FAT32和NTFS两种不同文件系统的分区结构的前提下，在综述了各种计算机取证中基于FAT32和基于NTFS的数据恢复技术和原理、基于闪存的数据恢复技术、基于新型存储设备SSD固态盘的数据恢复技术。然后讨论了未来计算机取证中数据恢复技术的发展趋势和挑战，即文件碎片的重组和恢复和基于SSD的数据恢复。相比传统数据恢复，计算机取证中的数据恢复有其自己的特点和要求，最后本文从法律角度，总结了数据恢复技术在计算机取证中应用时所需要遵循的原则和流程规范。关键字：计算机取证、数据恢复AbstractTraditional data recovery has a lot of mature technologies, According to analysis the relationship between data recovery in computer forensics and traditional data recovery, feasibility of applying data recovery techniques to computer forensics has been proved,much practice also has proved its effectiveness and importance. This paper describes and analyzes the different disk partition structure respectively in the FAT32 and NTFS file systems, then reviews a variety of data recovery techniques and principles respectively based on FAT32 and NTFS, flash-based data recovery techniques, SSD-based data recovery techniques in computer forensics. Next we discuss the trends and challenges of data recovery technology in computer forensics in the future, namely restructuring and recovery of file fragmentation and SSD-based data recovery. Compared to traditional data recovery, data recovery in computer forensics has own characteristics and requirements, and finally from a legal point of view, this paper summed up the principles and process specifications that need to be followed when data recovery techniques are applied to computer forensics . Keywords: computer forensics, data recovery目录摘要IAbstractI1 引言11.1 计算机取证概念11.2传统数据恢复技术概念11.3 计算机取证中的数据恢复与传统数据恢复的关系21.4 计算机取证中的数据恢复技术研究背景及意义32 计算机取证中的数据恢复技术32.1 基于FAT32的数据恢复32.1.1 FAT32系统中硬盘数据结构32.1.2 文件删除后的恢复32.1.3 硬盘格式化或硬盘分区后的恢复42.1.4 分区表损坏后的恢复52.2 基于NTFS的数据恢复52.2.1 NTFS系统中硬盘数据结构52.2.2 文件删除后的恢复62.2.3 BPB损坏后的恢复62.3 基于闪存的数据恢复62.4 基于SSD的数据恢复73 计算机取证中的数据恢复技术发展方向73.1 文件碎片的重组和恢复73.2 基于SSD的数据恢复74 数据恢复在计算机取证中的应用85 总结86 参考文献91 引言1.1 计算机取证概念计算机取证是指能够为法庭接受的、足够可靠和有说服力的，存在于计算机、网络、电子设备等数字设备中的电子证据