一种碎片文件的数据恢复方法技术

本发明专利技术公开了一种碎片文件的数据恢复方法，包括以下步骤：S1：分析得到分区信息；S2：找文件系统空闲区域；S3：选择需要恢复的文件类型；S4：检索文件头特征；S5：判断是否找到文件头特征；找到执行S6,若未找到执行S7；S6：根据文件头特征重组文件，重组成功后执行S8；S7：根据预存的文件存储方式进行文件重组，重组成功后执行S8；S8：提取重组成功的文件。本发明专利技术的有益效果如下：可按照文件头特征找到文件头并根据文件头找打文件的数据内容；在文件头丢失的情况下也可按照预先知道的文件格式或编码找到文件系统中的碎片，可对碎片文件进行校对判断是否正确的数据，对碎片数据进行有序重组，达到恢复不完整碎片文件的目的，数据恢复成功率高。

【技术实现步骤摘要】

本专利技术涉及信息安全
，特别涉及一种碎片文件的数据恢复方法。
技术介绍
在信息化迅速发展的21世纪，计算机技术日新月异，与人们的日常生活息息相关，存储设备数据丢失往往能给个人，甚至企业单位带来无尽的烦恼与麻烦，在涉及计算机数据存储工作中，如在企业工作中，企业数据丢失造成的损失是不可估量的，小则使公司无法开展工作，大则可能导致企业损失惨重而倒闭，特别是在信息化企业中，公司的电子资料就是他们的命脉，如能恢复这些资料将能拯救企业，让企业的损失降到最低；如在公安领域，这些数据也许就是案件的电子证据，如果检验人员能够获取更多计算机中的数据，那么就更加有利于案件的早日侦破，也能够向法庭提供更多的可靠的证据；这对取证，特别是数据恢复工作提出了更高的要求。目前，市场上使用最为流行的数据取证商业软件有encase、winhex、R-stdio等，这些软件在常规文件记录存在，且文件连续是可以恢复的；一旦遇到文件记录不在或者文件存储位置不连续就无法恢复出这些文件中的数据或者关键信息；通过研究分析，这些数据还是存在于存储介质中的，只是文件不是连续存储于介质中，现有的恢复方法只能按照找文件头信息来对文件进行RAW方式恢复，这种只能找到文件头以及与文件头连续存储的内容，而文件的其余大多数内容无法被找到，还因为大多数文件类型是有自己的解码格式的，只有文件头的数据是无法正常将已有内容展现的，故RAW方式恢复针对不连续或者数据不完整是不能达到很好效果的。但是在实际的数据恢复或者取证中，往往就是需要恢复出不连续存储的文件或者关键信息。电子信息文件都是基于一定标准或者一定的格式设计的，每种类型的文件都有自己独有的格式或者解码限制条件，我们可以在数据恢复中巧妙的使用这些信息来实现不连续数据的恢复，最大程度的提升恢复出完整文件的概率。使恢复出的数据是可以被正常解码，正常展现其中的内容，达到取证或者数据恢复的目的。
技术实现思路
本专利技术针对现有技术的缺陷，提供了一种碎片文件的数据恢复方法，能有效的解决上述现有技术存在的问题。一种碎片文件的数据恢复方法，包括以下步骤：S1：打开MBR磁盘分区表，解析MBR磁盘分区表,分区表得到分区信息；S2：根据S1中的分区信息可以找到文件系统分区表，获取文件系统的参数，解析文件系统可以标记出空闲区域；各个文件系统分区表中记录扇区字节数，分区基本分配单元大小参数；S3：选择需要恢复的文件类型；S4：根据S2中确定的空闲区域检索S3中要求恢复的文件的文件头信息；S5：判断是否扫描到文件头特征；若找到则执行S6,若未找到则执行S7；S6：根据文件头特征的得到文件存储方式，按照特定的文件存储方式进行文件重组，重组成功后执行S8；S7：根据预存的文件存储方式文件进行文件重组，重组成功后执行S8；S8：提取重组成功的文件。作为优选，所述S6的具体步骤如下：S601：根据检索到的文件头信息，确定此种文件的编码方式或文件存储格式的类型，确定文件大小或文件尾部特征；S602：创建重组区域；S603：将文件头信息块存入重组区域；S604：按照文件存储格式的顺序以最小存储单位排入一个单位至重组区域的文件头信息块后；S605：按照文件的编码或者存储格式判断S604排入的单个存储单位是否为正确的文件数据；若是则执行S606，若不是则删除该存储单元后执行S604；S606：判断是否重组完成；这里可通过S601得到的文件大小或文件尾特征来判断，若重组完成则结束，若没有完成则执行S604。作为优选，所述S7的详细步骤如下：S701：创建用于重组文件的重组区域；S702：按照预存的该类文件的编码格式或者存储特征在空闲区域中以最小存储单元检索数据内容，找到特征符合的一个存储单元数据则执行S703；S703：将特征符合的数据放入重组区域依次排列；S704：按照文件的编码或者存储格式判断S703排入的单个存储单位是否为正确的文件数据；若是则执行S705，若不是则删除该存储单元后执行S702；S705：判断是否扫描至完成；这里是根据扫描到文件系统尾部来判断的，若完成则结束，若没有完成则执行S702。与现有技术相比本专利技术的优点在于：可按照文件头特征找到文件头并根据文件头找打文件的数据内容；在文件头丢失的情况下也可按照预先知道的文件格式或编码找到文件系统中的碎片，可对碎片文件进行校对判断是否正确的数据，对碎片数据进行有序重组，达到恢复不完整碎片文件的目的，数据恢复成功率高。附图说明图1为专利技术实施例的主流程图；图2为专利技术实施例S6的详细流程图；图3为专利技术实施例S7的详细流程图。具体实施方式为使本专利技术的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本专利技术做进一步详细说明。如图1所示，一种碎片文件的数据恢复方法，包括以下步骤：S1：打开MBR磁盘分区表，解析MBR磁盘分区表,分区表得到分区信息；S2：根据S1中的分区信息可以找到文件系统分区表，获取文件系统的参数，解析文件系统可以标记出空闲区域(未使用的存储空间)；各个文件系统分区表中记录扇区字节数，分区基本分配单元大小参数；S3：选择需要恢复的文件类型；S4：根据S2中确定的空闲区域检索S3中要求恢复的文件的文件头信息；空闲区域本质就是文件被删除后按照最小存储单元释放的空间，因此空闲区域中就是所有删除丢失文件的区域集合，故在在空闲区域中是可以找到特定的文件头特征，并以当前文件系统最小存储单元复制数据到目标区(就是新文件待拼接区域)；S5：判断是否扫描到文件头特征；若找到执行S6,若未找到执行S7；S6：根据文件头特征的得到文件存储方式，按照特定的文件存储方式进行文件重组，重组成功后执行S8；S7：根据预存的文件存储方式文件进行文件重组，重组成功后执行S8；S8：提取重组成功的文件。如图2所示，所述S6的具体步骤如下：S601：根据检索到的文件头信息，确定此种文件的编码方式或文件存储格式的类型，还有文件大小或文件尾部特征；每种文件都有自己特点的编码类型或者存储格式，在打开文件时就会使用到自己特有的编码来解码数据；S602：创建重组区域，将文件系统的空闲区域按照最小存储单位依次放入重组区域中；S603：将文件头信息块存入重组区域；S604：按照文件存储格式的顺序以最小存储单位排入一个单位至重组区域的文件信息块后；S605：按照文件的编码或者存储格式判断S604排入的单个存储单位是否为正确的文件数据；若是则执行S606，若不是则删除该存储单元后执行S604；这里可根据文件的编码方式进行文件数据校验，记录校验结果；因为不同的文件在按照单元解码时是会有不同的一定的校验方法，另外文件在解码时也有明显的存储标记格式特征，可通过以上的方法验证数据单元是否正确；S606：判断是否重组完成；这里可通过S601得到的文件大小或文件尾特征来判断，若重组完成则结束，若没有完成则执行S604。如图3所示，所述S7的详细步骤如下：S701：创建用于重组文件的重组区域；S702：按照预存的该类文件的编码格式或者存储特征在空闲区域中以最小存储单元检索数据内容，找到特征符合的一个存储单元数据则执行S703；S703：将特征符合的数据放入重组区域依次排列；本文档来自技高网...

【技术保护点】
一种碎片文件的数据恢复方法，包括以下步骤：S1：打开MBR磁盘分区表，解析MBR磁盘分区表,分区表得到分区信息；S2：根据S1中的分区信息可以找到文件系统分区表，获取文件系统的参数，解析文件系统可以标记出空闲区域；各个文件系统分区表中记录扇区字节数，分区基本分配单元大小参数；S3：选择需要恢复的文件类型；S4：根据S2中确定的空闲区域检索S3中要求恢复的文件的文件头特征；S5：判断是否扫描到文件头特征；若找到则执行S6,若未找到则执行S7；S6：根据文件头特征的得到文件存储方式，按照特定的文件存储方式进行文件重组，重组成功后执行S8；S7：根据预存的文件存储方式文件进行文件重组，重组成功后执行S8；S8：提取重组成功的文件。

【技术特征摘要】
1.一种碎片文件的数据恢复方法，包括以下步骤：S1：打开MBR磁盘分区表，解析MBR磁盘分区表,分区表得到分区信息；S2：根据S1中的分区信息可以找到文件系统分区表，获取文件系统的参数，解析文件系统可以标记出空闲区域；各个文件系统分区表中记录扇区字节数，分区基本分配单元大小参数；S3：选择需要恢复的文件类型；S4：根据S2中确定的空闲区域检索S3中要求恢复的文件的文件头特征；S5：判断是否扫描到文件头特征；若找到则执行S6,若未找到则执行S7；S6：根据文件头特征的得到文件存储方式，按照特定的文件存储方式进行文件重组，重组成功后执行S8；S7：根据预存的文件存储方式文件进行文件重组，重组成功后执行S8；S8：提取重组成功的文件。2.根据权利要求1的一种碎片文件的数据恢复方法，其特征在于所述S6的具体步骤如下：S601：根据检索到的文件头特征，确定此种文件的编码方式或文件存储格式的类型，确定文件大小或文件尾部特征；S602：创建重组区域；S603：将文件头信息块存入重组区域；S604：按照...

【专利技术属性】
技术研发人员：梁效宁，
申请(专利权)人：四川效率源信息安全技术有限责任公司，
类型：发明
国别省市：四川;51