[發(fā)明專利]一種IM刪除信息的恢復(fù)方法

有效

• 申請?zhí)枺?/td>: 201210407437.8
• 申請日: 2012-10-24
• 公開（公告）號: CN102902814A
• 公開（公告）日: 2013-01-30
• 發(fā)明（設(shè)計）人: 沈長達(dá);沈少凡;林藝濱;錢鏡潔
• 申請（專利權(quán)）人: 廈門市美亞柏科信息股份有限公司
• 主分類號: G06F17/30
• 分類號: G06F17/30
• 代理公司: 北京恒都律師事務(wù)所 11395
• 代理人: 安筱瓊

1.一種IM刪除信息的恢復(fù)方法，其特征在于：包括未使用空間數(shù)據(jù)的獲取方法和從未使用空間中恢復(fù)刪除數(shù)據(jù)的方法，其中：

刪除的IM信息數(shù)據(jù)主要流入到復(fù)合文件的三個地方：空閑扇區(qū)、文件殘留區(qū)、無目錄結(jié)構(gòu)對應(yīng)的扇區(qū)；

所述未使用空間數(shù)據(jù)的獲取方法由以下幾個步驟實(shí)現(xiàn)：

a)?預(yù)處理：解析復(fù)合文件的頭部結(jié)構(gòu)，并獲取長扇區(qū)分配表SAT、短扇區(qū)分配表SSAT、以及長扇區(qū)的長度LSectorSize和短扇區(qū)長度LSectorSize，并用N=LSectorSize/LSectorSize表示長扇區(qū)長度是短扇區(qū)長度的多少倍，解析目錄流結(jié)構(gòu)，獲取復(fù)合文件中各個文件的對應(yīng)的扇區(qū)鏈；

b)?空閑扇區(qū)的獲?。嚎臻e空間為扇區(qū)表中value為-1所對應(yīng)的扇區(qū)，因此獲取空閑空間的步驟為：遍歷整個扇區(qū)表，將扇區(qū)表中value為-1對應(yīng)的扇區(qū)的數(shù)據(jù)放入到pUnusedBuffer；

c)?文件殘留區(qū)的獲??；遍歷復(fù)合文件里面包含的所有文件，如果發(fā)現(xiàn)sectorsize*n＞filesize，則將該文件從偏移filesize到偏移sectorsize*n區(qū)間所包含的數(shù)據(jù)加入到pUnusedBuffer中；

d)?無目錄結(jié)構(gòu)對應(yīng)的扇區(qū)的獲取：在扇區(qū)表中，有一些扇區(qū)鏈沒有被文件指向，這些鏈對應(yīng)的扇區(qū)就是無目錄結(jié)構(gòu)的扇區(qū)，在某些情況下，當(dāng)一些IM信息被刪除時，只是清空相應(yīng)的目錄結(jié)構(gòu)，扇區(qū)表中的扇區(qū)鏈并沒有清空，為了獲取這些扇區(qū)的信息，采用全局標(biāo)記的方法進(jìn)行獲取；

所述從未使用空間中恢復(fù)刪除數(shù)據(jù)的方法由以下幾個步驟實(shí)現(xiàn)：

A)?刪除聊天記錄的恢復(fù):?確定所獲取的pUnusedBuffer數(shù)據(jù)中是否包含正常的聊天記錄需要以下步驟：

1）、初步判斷:根據(jù)聊天記錄的格式，判斷總長度是否等于“0x14+4+dwBlockLen1+4+dwBlockLen2”；

2）、再次確認(rèn):對第二部分的數(shù)據(jù)進(jìn)行解密，判斷是否解密成功，并判斷解密后的頭8個字節(jié)為0x4d,0x53,0x47,0x00,0x00,0x00,0x00,0x00；

當(dāng)1）、2）步驟都判斷為是聊天記錄的格式是就開始按聊天記錄的格式去解析，解析完可進(jìn)一步判斷聊天記錄是好友、群還是討論組，具體做法為，根據(jù)第三部分?jǐn)?shù)據(jù)解出來的字段名和值的集合，在集合中查找接收者帳號ID對應(yīng)的值進(jìn)行判斷，通過分析正常聊天記錄的數(shù)據(jù)可知，群/討論組中的聊天記錄的接收者帳號為群/討論組的ID號，因此可在解析正常記錄時記錄所有群/討論組ID的集合，通過判斷接收者帳號是否在這個集合中來確定是否是群/討論組中的聊天記錄，如果不是群/討論組的聊天記錄，則根據(jù)對方的IM帳號ID進(jìn)行分組；

B)?刪除好友/群/討論組信息記錄的恢復(fù):?由于好友/群/討論組的信息保存在Info.db文件中，且Info.db中的數(shù)據(jù)大部分是有ES標(biāo)識的加密數(shù)據(jù)，所以通過解密ES數(shù)據(jù)塊進(jìn)行判斷；

首先對數(shù)據(jù)塊的類型和長度進(jìn)行初步過濾，以免大量解密操作導(dǎo)致效率較慢，并對數(shù)據(jù)塊的數(shù)據(jù)進(jìn)行解密，如果解密成功，且數(shù)據(jù)是一條TD數(shù)據(jù)塊，則初步判斷為一條正常的記錄；

當(dāng)解析成功時可進(jìn)一步判斷該信息是屬于好友、群還是討論組的；

具體做法為，對解密出來的TD數(shù)據(jù)塊解析，可得到一組字段名和組的集合，可以通過判斷是否同時存在一組字段來確定屬于什么類型；其中群成員信息存在群身份標(biāo)識字段,群信息同時存在群標(biāo)識和群名稱字段，討論組及成員信息同時存在討論組ID和討論組名稱字段，好友個人信息同時存在帳號ID和性別字段。

2.根據(jù)權(quán)利要求1所述的IM刪除信息的恢復(fù)方法，其特征在于：所述全局標(biāo)記的方法進(jìn)行獲取，其具體操作由以下幾個步驟組成：

1）、將整個復(fù)合文件分成一塊一塊的，每塊的大小為SSectorSize，即每塊的大小為短扇區(qū)的大小；

2）、遍歷長扇區(qū)表，對于扇區(qū)表第i個位置的value如果為-1或者-2或者-3或者-4的話，則標(biāo)記第i*N+N~i*N+N的塊為被使用；

3）、從復(fù)合文件頭部獲取目錄流在扇區(qū)表中的起始ID，并獲取相應(yīng)的扇區(qū)鏈；

根據(jù)獲取到的扇區(qū)鏈，針對扇區(qū)鏈中得每個節(jié)點(diǎn)將相應(yīng)的塊標(biāo)記為被使用；

具體做法為對于該扇區(qū)鏈中的每個節(jié)點(diǎn)j，將j*N+N~j*N+2N的塊標(biāo)志為被使用；

4）、遍歷復(fù)合文件中包含的所有文件得到每個文件對應(yīng)的扇區(qū)鏈，根據(jù)獲取到的扇區(qū)鏈，將相應(yīng)的塊標(biāo)記位被使用，如果獲取到的扇區(qū)鏈為短扇區(qū)鏈，則對于該扇區(qū)鏈中得每個節(jié)點(diǎn)j????????????????????????????????????????????????，獲取到該短扇區(qū)所在的長扇區(qū)位置，以及偏移k(≤k≤N-1)，并標(biāo)記第i*N+N+k塊為被使用，

5）、遍歷所有的塊，將沒有被標(biāo)記為被使用的塊所對應(yīng)的數(shù)據(jù)加入到pUnusedBuffer中。