信息技術(shù)的發(fā)展使計(jì)算機(jī)犯罪活動(dòng)日益猖獗，取證技術(shù)越來(lái)越受到人們的關(guān)注和重視?，F(xiàn)實(shí)中嫌疑人反偵察意識(shí)加強(qiáng)，數(shù)據(jù)很容易被篡改和銷(xiāo)毀，使取證工作變得困難。如何迅速正確的對(duì)丟失的數(shù)據(jù)進(jìn)行數(shù)據(jù)恢復(fù)和修復(fù)成了取證工作的重點(diǎn)。除了依靠取證軟件和數(shù)據(jù)恢復(fù)軟件進(jìn)行數(shù)據(jù)恢復(fù)和提取，還需要取證人員掌握數(shù)據(jù)恢復(fù)基本原理，從而更準(zhǔn)確的提取電子證據(jù)。
數(shù)據(jù)恢復(fù)，即將遭受破壞的數(shù)據(jù)還原為正常數(shù)據(jù)的過(guò)程。數(shù)據(jù)恢復(fù)分為三個(gè)層次：基于文件系統(tǒng)的數(shù)據(jù)恢復(fù)、基于文件數(shù)據(jù)特征的數(shù)據(jù)恢復(fù)和殘缺數(shù)據(jù)的數(shù)據(jù)恢復(fù)。
基于文件系統(tǒng)的數(shù)據(jù)恢復(fù)是較為常用的數(shù)據(jù)恢復(fù)技術(shù)，常規(guī)的數(shù)據(jù)恢復(fù)軟件比如R-Studio(加拿大R-TT出品)、D-Recovery(達(dá)思科技出品)、EasyRecovery(美國(guó)ontrack出品)等都是基于這一原理，通過(guò)解析文件系統(tǒng)，讀取分區(qū)，再讀取目錄，根據(jù)目錄提取數(shù)據(jù)。
而當(dāng)文件系統(tǒng)遭到破壞，已經(jīng)無(wú)法識(shí)別有效的分區(qū)信息，或者目錄信息被全部清空的情況下，就需要按照文件的數(shù)據(jù)特征來(lái)恢復(fù)數(shù)據(jù)。
不同類(lèi)型的文件都有一定的數(shù)據(jù)特征，比如每個(gè)數(shù)據(jù)文件都有一個(gè)文件頭，同一類(lèi)型的文件頭是一樣的，可以根據(jù)不同文件類(lèi)型的文件特征從數(shù)據(jù)區(qū)直接掃描恢復(fù)文件數(shù)據(jù)。比如，DOC 文檔前八個(gè)字節(jié)數(shù)據(jù)是十六進(jìn)制數(shù) d0cf 11 e0a1b11ae1，PNG 文件前八個(gè)字節(jié)十六進(jìn)制數(shù)是 89 50 4e 47 0d 0a 1a 0a。如下圖
word文件修復(fù)：
圖1 DOC文件頭
PNG文件修復(fù)：
圖2 PNG文件頭
對(duì)于采用文件特征搜索方式恢復(fù)回來(lái)的文件，如果文件不大，剛好在文件系統(tǒng)分配的一個(gè)簇里面，則這個(gè)文件可以完美恢復(fù)的概率高達(dá)95%以上。但是如果文件大小超過(guò)了一個(gè)簇或一個(gè)存儲(chǔ)單位，則文件頭或文件尾被破壞，文件打不開(kāi)的情況就非常多了。這種情況下必須采用殘缺數(shù)據(jù)恢復(fù)技術(shù)，也就是國(guó)外常稱(chēng)為數(shù)據(jù)雕刻的恢復(fù)技術(shù)。
此外，硬盤(pán)中有一些特殊區(qū)域，比如未分配空間，目前雖然沒(méi)有被使用，但可能含有先前的數(shù)據(jù)殘留;文件中的“Slack”空間，即文件有效數(shù)據(jù)的結(jié)束位置到最后一個(gè)數(shù)據(jù)庫(kù)的最末端位置之間的存儲(chǔ)空間。如果文件長(zhǎng)度不是簇長(zhǎng)度的整數(shù)倍，在文件最后一簇中，會(huì)有一些剩余空間，可能包含先前文件的殘留數(shù)據(jù)。對(duì)這些特殊區(qū)域恢復(fù)出的數(shù)據(jù)或者信息片段，也是需要用到文件雕刻技術(shù)來(lái)恢復(fù)的。
在實(shí)際的計(jì)算機(jī)取證中，使用達(dá)思公司研制的D-Recovery企業(yè)版，可解決大部分文件系統(tǒng)級(jí)的數(shù)據(jù)恢復(fù)問(wèn)題。操作步驟也很簡(jiǎn)單，真正復(fù)雜和具有挑戰(zhàn)性的是文件級(jí)的數(shù)據(jù)恢復(fù)與修復(fù)工作，用達(dá)思公司提供的一些工具，也可解決這類(lèi)難題。
如文件頭被篡改的情況下，無(wú)論使用R-Studio還是EasyRecovery，要么是識(shí)別不了這些文件，要么是識(shí)別錯(cuò)誤，得到的文件打不開(kāi)。比如，我們將一個(gè)pdf文件：“測(cè)試.pdf”改后綴名為“測(cè)試.jpg”，通過(guò)RStudio加載，如下圖
圖3 用RStudio讀取
用Winhex按照jpg格式查找，無(wú)法找到。這種情況下，需要檢查提取文件的文件名和文件頭的匹配情況，如若不匹配，按照文件頭而不是文件名來(lái)打開(kāi)文件。 對(duì)于文件內(nèi)容被破壞，可針對(duì)不同文件類(lèi)型，采用有針對(duì)性的雕刻修復(fù)。比如DOC文件頭被破壞，清零，該文檔無(wú)法打開(kāi)。
文件報(bào)錯(cuò) 圖4 文檔無(wú)法打開(kāi)
這種情況下，需要進(jìn)行二進(jìn)制編輯，用編輯器打開(kāi)要雕刻的文檔，在文件頭處回寫(xiě)“D0 CF 11 E0 A1 B1 1A E1”，對(duì)文件進(jìn)行修復(fù)。修復(fù)doc文件
圖5 修復(fù)DOC文檔
文檔可正常打開(kāi)，見(jiàn)下圖。
word文件修復(fù)成功 圖6 文檔正常打開(kāi)
對(duì)于一些圖片文件，可根據(jù)特征進(jìn)行雕刻修復(fù)，JPEG、PNG、TIFF等文件，是分塊壓縮的，如果獲得了部分?jǐn)?shù)據(jù)，可以構(gòu)造數(shù)據(jù)結(jié)構(gòu)，使找到的這部分?jǐn)?shù)據(jù)可讀。
關(guān)于達(dá)思科技
達(dá)思科技，國(guó)家級(jí)高新技術(shù)企業(yè)，天津市國(guó)家保密局涉密載體數(shù)據(jù)恢復(fù)唯一協(xié)作單位，數(shù)據(jù)恢復(fù)行業(yè)著名品牌，在國(guó)內(nèi)乃至全亞洲數(shù)據(jù)恢復(fù)技術(shù)領(lǐng)先!
達(dá)思科技的全稱(chēng)是達(dá)思凱瑞技術(shù)(北京)有限公司，成立于2007年8月，注冊(cè)資金1500萬(wàn)元。
達(dá)思科技是一家以數(shù)據(jù)恢復(fù)與取證技術(shù)研發(fā)為核心的國(guó)家級(jí)高新技術(shù)企業(yè)，公司擁有自主知識(shí)產(chǎn)權(quán)的數(shù)據(jù)恢復(fù)與取證軟件30多種。公司下設(shè)研發(fā)中心、數(shù)據(jù)恢復(fù)與取證服務(wù)部、服務(wù)器RAID數(shù)據(jù)恢復(fù)應(yīng)急中心等。
數(shù)據(jù)恢復(fù)技術(shù)優(yōu)勢(shì)明顯
達(dá)思科技是一家真正掌握數(shù)據(jù)恢復(fù)核心技術(shù)的企業(yè)，尤其在Unix及Linux大型存儲(chǔ)設(shè)備的數(shù)據(jù)恢復(fù)方面(包括EXT3文件系統(tǒng)刪除數(shù)據(jù)、UFS文件系統(tǒng)數(shù)據(jù)恢復(fù)、XFS文件系統(tǒng)數(shù)據(jù)恢復(fù)技術(shù)、IBM-AIX JFS2文件系統(tǒng)數(shù)據(jù)恢復(fù)高端技術(shù)、Vmware虛擬機(jī)數(shù)據(jù)恢復(fù)技術(shù)、Oracle數(shù)據(jù)庫(kù)修復(fù)技術(shù)、蘋(píng)果mac數(shù)據(jù)恢復(fù)技術(shù)等)獨(dú)樹(shù)一幟，在數(shù)據(jù)恢復(fù)行業(yè)中具有明顯的優(yōu)勢(shì)，達(dá)思科技承接的其他公司無(wú)法恢復(fù)的疑難案例不計(jì)其數(shù)。
專(zhuān)注手機(jī)數(shù)據(jù)恢復(fù)與取證技術(shù)
達(dá)思科技專(zhuān)注智能手機(jī)數(shù)據(jù)恢復(fù)與取證技術(shù)，在智能手機(jī)邏輯數(shù)據(jù)提取與分析技術(shù)、智能手機(jī)數(shù)據(jù)刪除數(shù)據(jù)恢復(fù)技術(shù)、邏輯級(jí)手機(jī)取證分析、物理級(jí)手機(jī)數(shù)據(jù)恢復(fù)與取證技術(shù)、智能手機(jī)特殊應(yīng)用(app)數(shù)據(jù)恢復(fù)與取證分析等方面具有明顯的技術(shù)優(yōu)勢(shì)。
數(shù)據(jù)恢復(fù)實(shí)訓(xùn)室全面開(kāi)花
達(dá)思科技數(shù)據(jù)恢復(fù)實(shí)訓(xùn)室解決方案是中高等職業(yè)院校的首選，成功案例包括北京勞動(dòng)保障職業(yè)學(xué)院、北京政法職業(yè)學(xué)院、北京商貿(mào)學(xué)校、北京經(jīng)濟(jì)管理職業(yè)學(xué)院、北京信息職業(yè)技術(shù)學(xué)院等中高職院校均采用達(dá)思數(shù)據(jù)恢復(fù)實(shí)訓(xùn)室，并且開(kāi)設(shè)數(shù)據(jù)恢復(fù)專(zhuān)業(yè)課程。達(dá)思數(shù)據(jù)恢復(fù)實(shí)訓(xùn)室開(kāi)啟了校企合作，協(xié)助學(xué)校開(kāi)設(shè)數(shù)據(jù)恢復(fù)實(shí)驗(yàn)課程，達(dá)思數(shù)據(jù)恢復(fù)專(zhuān)家走進(jìn)課堂，親自講解數(shù)據(jù)恢復(fù)核心技術(shù)，為學(xué)生提供豐富的實(shí)訓(xùn)技術(shù)，深受學(xué)生喜愛(ài)!
涉密單位數(shù)據(jù)恢復(fù)與取證實(shí)驗(yàn)室獲好評(píng)
達(dá)思科技為公檢法軍等涉密單位開(kāi)發(fā)了不少具有針對(duì)性的專(zhuān)業(yè)數(shù)據(jù)恢復(fù)與取證設(shè)備，如：達(dá)思數(shù)據(jù)恢復(fù)文件系統(tǒng)級(jí)專(zhuān)用機(jī)、達(dá)思數(shù)據(jù)恢復(fù)企業(yè)級(jí)應(yīng)用專(zhuān)用機(jī)、達(dá)思智能手機(jī)數(shù)據(jù)恢復(fù)與取證專(zhuān)業(yè)版、達(dá)思數(shù)碼復(fù)印機(jī)硬盤(pán)敏感信息檢查系統(tǒng)等，是涉密單位和科研院所必備的數(shù)據(jù)恢復(fù)與取證裝備。
數(shù)據(jù)恢復(fù)與取證實(shí)驗(yàn)室成功案例有天津市國(guó)家保密局?jǐn)?shù)據(jù)恢復(fù)實(shí)驗(yàn)室項(xiàng)目、總裝備部裝甲兵工程學(xué)院數(shù)據(jù)恢復(fù)實(shí)驗(yàn)室項(xiàng)目、中央和國(guó)家機(jī)關(guān)涉密載體銷(xiāo)毀中心數(shù)據(jù)恢復(fù)項(xiàng)目、總參某研究所數(shù)據(jù)恢復(fù)實(shí)驗(yàn)室項(xiàng)目等。
達(dá)思數(shù)據(jù)恢復(fù)培訓(xùn)，只講真技術(shù)，創(chuàng)業(yè)者的首選
達(dá)思數(shù)據(jù)恢復(fù)培訓(xùn)已經(jīng)經(jīng)歷了10年的歷程，截止到2015年12月，累計(jì)培訓(xùn)學(xué)員超過(guò)6000名，達(dá)思數(shù)據(jù)恢復(fù)培訓(xùn)中高級(jí)班、取證班等，主要面向數(shù)據(jù)恢復(fù)公司創(chuàng)業(yè)者、涉密單位的技術(shù)人員、公檢法軍技術(shù)骨干、高校計(jì)算機(jī)系教師等。目前中高級(jí)學(xué)員累計(jì)超過(guò)150人。參加達(dá)思數(shù)據(jù)恢復(fù)中高級(jí)培訓(xùn)是真正掌握數(shù)據(jù)恢復(fù)技術(shù)的最佳選擇。
達(dá)思科技 中國(guó)數(shù)據(jù)恢復(fù)與取證真專(zhuān)家!熱線(xiàn)：4007000017
微信號(hào)：woocs
長(zhǎng)按識(shí)別二維碼關(guān)注
專(zhuān)注數(shù)據(jù)恢復(fù)與取證技術(shù)、互聯(lián)網(wǎng)
電話(huà)咨詢(xún)：400-700-0017
投稿：woocs@qq.com
