基于Hash的YAFFS2文件各版本恢复算法研究

摘要：

Android取证过程中，包含了数据提取、数据恢复等方向，其中数据恢复是Android取证研究中非常重要的一个环节，只有更好、更多地恢复终端中的数据，特别是一些被修改或者删除的数据，才能更好地开展对后续数据的分析和研究。YAFFS2文件系统是一种新型的快速闪存文件系统，该文件系统被设计用在使用NAND闪存技术的移动终端中，也是目前广泛应用于Android移动终端中的新型文件系统。文章选择YAFFS2文件系统作为研究对象，提出了一种基于Hash的YAFFS2文件各版本恢复算法。首先通过反向扫描获得该文件系统中的数据信息；然后将具有相同对象头信息的数据提取，并将其中的信息存入Hash链表中；最后重构文件以实现对多个版本的文件恢复。文章通过在Linux系统下搭建YAFFS2文件系统环境，并进行实验，证明了该算法可有效地对各类型数据文件进行恢复，特别是可恢复SQLite3数据库文件，并且可恢复各类型文件的多个版本，实现并达到了设计算法的预期目标，也为后续对Android取证中其他方面的研究打下了一定的基础。

关键词：数字取证、文件恢复、Android系统、YAFFS2、Hash

分类号：TP309(计算技术、计算机技术)

资助基金：国家高技术研究发展计划国家863计划2015AA017204

在线出版日期：2016-06-24（万方平台首次上网日期，不代表论文的发表时间）

页数：共7页

页码：51-57