HFS+删除文件恢复技术

随着MAC OS的广泛使用,MAC OS的取证技术得到了取证专家的高度重视。删除文件恢复技术一直是取证技术中的一项重要内容,HFS+文件系统作为目前MAC OS的主流文件系统,其删除文件的恢复技术更是数据恢复专家研究的重点。目前,HFS+删除文件的恢复主要是日志型数据的恢复,即基于日志中存储的B树中的叶子节点信息进行恢复。该方法具有快速、精确的特点。但是,该方法忽略了日志中存储的索引节点信息,因此恢复效果不是很理想。文章提出了一种快速、精确的HFS+删除文件的恢复技术,该技术不仅可以快速地恢复出被删除的文件,并且和现有的从日志中进行恢复的算法相比还可以恢复出更多的删除文件。     

EFS离线解密方法及其取证应用

微软从Windows 2000开始引入加密文件系统（EFS）。EFS是集成在NTFS文件系统中的一个组件,允许用户对NTFS分区上的文件进行加解密。针对目前大部分的取证软件无法实现对EFS加密文件快速取证等问题,文章首先讨论了EFS的加密原理,接着提出了EFS的离线解密方法,并在此基础上设计了EFS取证工具（FET）。EFT摆脱了对目标数据源上操作系统的依赖,能够同时对目标数据源上多个不同用户的EFS加密文件进行快速检索和批量取证。实践表明,EFT能够极大提高办案人员的取证效率。     

黑莓文件系统解析技术

文章阐述了一种由具体内容映射文件系统一般规律的分析方法,从逻辑单元和文件内容的组成入手,从文件目录和其它信息结构的存储结构展开,最终得到文件系统的基本结构和各种参数,实现了基于手动写入参数的半手工解析技术。文中技术除了可以用于一般文件系统的解析,更重要的是可以应用于未知文件系统-黑莓文件系统的直接数据镜像解析。通过这种方法的应用,可以更深入理解文件系统的一般规律,完善文件系统解析的思路,并掌握一定的黑莓文件系统思想,最后实现黑莓手机镜像的取证。