电子数据取证技术PPT课件（共12章）第3章取证技术基础.pptxVIP

第3章 取证技术基础3.1 存储基础3.2 文件系统及编码3.3 恶意代码分析基础3.1 存 储 基 础3.1.1 存储原理　数据在计算机中都是以二进制为基础进行存储的。存储单位按照不同要求，具有不同格式。　二进制位(bit)：又称为比特，是计算机中存储的最小信息单位，只有0和1两种状态。计算机中最直接、最基本的操作就是对二进制位的操作。　字节(Byte)：一个字节有8位二进制位，即1 Byte?=?8 bit。字节是计算机处理数据的基本单位，即以字节为单位解释信息。通常一个ASCII码占1个字节，一个汉字国标码占2个字节，整数占2个字节。 　字(word)：计算机内部进行信息处理的基本单位，是计算机可以同时处理的二进制数的位数，即一组二进制数码作为一个整体参加运算或处理的单位。一个字通常由一个或多个字节构成，用来存放一条指令或一个数据。　存储单元：表示一个数据的总长度。在计算机中，当一个数据作为一个整体存入或取出时，这个数据存放在一个或几个字节中组成一个存储单元。存储单元一般是字节的整数倍，常见的有8位、16位、32位、64位。32位的系统存放数据的形式是对每个数据用32个二进制位来存放，64位的意思就是用64个二进制位来存放，位数越多，每次处理存储的数据也就越多。　地址：表示计算机中每个存储单元的编号，以字节为单位。地址号与存储单元是一一对应的，CPU通过地址对存储单元中的数据进行访问和操作。地址也用二进制编码表示，为便于识别，通常采用十六进制编码表示。3.1.2 存储系统结构　1. 存储常识　硬盘在存储数据之前，一般需经过低级格式化、分区、高级格式化3个步骤之后才能使用。硬盘经过这3个步骤的处理，将建立一定的逻辑数据结构。如果是FAT文件系统，一般会将硬盘分为5个区域，即主引导记录(Main Boot Record，MBR)区、操作系统引导记录(DOS Boot Record，DBR)区、文件分配表(File Allocation Table，FAT)区、文件目录表(File Directory Table，FDT)区和数据(DATA)区，以实现对数据的存储和管理。高级格式化后，硬盘的所有空间也并不是都能被使用，由于数据不可能全部占满空间，因此产生了松弛区和未分配空间。　1) 低级格式化　硬盘低级格式化(Low Level Format)简称低格，也称为物理格式化(Physical Format)，用于检测硬盘磁介质、划分磁道、为每个磁道划分扇区、安排扇区在磁道中的排列顺序、硬盘表面测试、为每个扇区写入某一ASCII码字符等。　2) 分区　硬盘的容量比较大，为了便于硬盘的规划和文件管理，通常需要进行逻辑分区。通过分区，不仅可根据用户需求将硬盘的存储空间进行了合理划分，而且还在硬盘的0柱面、0磁头、1扇区上建立了硬盘的主引导记录(MBR)，即主引导扇区。　3) 高级格式化　高级格式化又称为逻辑格式化，是根据用户选定的文件系统(如FAT12、FAT16、FAT32、NTFS、Ext2、Ext3等)在硬盘的特定区域写入特定数据，以达到初始化硬盘或硬盘分区、清除原硬盘或硬盘分区中所有文件的操作。高级格式化包括对主引导记录中分区表相应区域进行重写，根据用户选定的文件系统，在分区中划出一片用于存放文件分配表、目录表等用于文件管理的硬盘空间，以便用户使用该分区管理文件。对于FAT文件系统，高级格式化过程将要创建DBR区、FAT区、FDT区和DATA区。DOS/Windows系统的文件系统主要有FAT、NTFS、exFAT等；Apple系统的文件系统主要有HFS、HFS+两种；Linux系统的文件系统常见的有Ext2、Ext3、Ext4等。　4) 文件松弛区　硬盘存储空间是以簇为单位进行分配的，如果文件的长度不是簇长度的整数倍，那么分配给文件的最后一簇中会有未被当前文件占用的剩余空间，这部分空间叫文件松弛 (Slack)区。文件松弛区中可能包含了先前文件遗留下来的信息，这部分信息可能是有用的证据，如图3-1所示。图3-1 松弛区　5) 未分配空间　没有分配给任何卷的可用硬盘空间称为未分配空间。这部分空间同样会保存有重要数据。在犯罪嫌疑人重新格式化硬盘或者删除分区之后，这些区域中还会留存有重要信息，通过特定技术可以还原出硬盘原有分区乃至所有未被覆盖信息。　2. 存储结构　1) ?MBR硬盘分区　MBR硬盘分区是使用最为广泛的一种分区结构，不仅应用于微软操作系统平台中的分区结构，而且Linux系统、基于x86架构的UNIX系统都能够支持MBR硬盘分区。MBR硬盘分区都有一个引导扇区，被称为主引导记录(MBR)。MBR位于整个硬盘的第一个扇区，即0柱面0磁头1扇区，其LBA(Logic Block Address)为0，共有5