[發(fā)明專利]一種IM刪除信息的恢復(fù)方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201210407437.8
• 申請(qǐng)日: 2012-10-24
• 公開（公告）號(hào): CN102902814A
• 公開（公告）日: 2013-01-30
• 發(fā)明（設(shè)計(jì)）人: 沈長(zhǎng)達(dá);沈少凡;林藝濱;錢鏡潔
• 申請(qǐng)（專利權(quán)）人: 廈門市美亞柏科信息股份有限公司
• 主分類號(hào): G06F17/30
• 分類號(hào): G06F17/30
• 代理公司: 北京恒都律師事務(wù)所 11395
• 代理人: 安筱瓊

技術(shù)領(lǐng)域

本發(fā)明屬于信息安全與計(jì)算機(jī)應(yīng)用技術(shù)領(lǐng)域，涉及一種IM刪除信息的恢復(fù)方法。?

背景技術(shù)

采用復(fù)合文件作為存儲(chǔ)結(jié)構(gòu)的IM刪除信息的恢復(fù)，目前國(guó)內(nèi)研究比較少，較為完整的技術(shù)文檔和相關(guān)專利也較少。目前市場(chǎng)上已有IM刪除信息恢復(fù)的軟件，但是局限性很大，而且目前沒有發(fā)現(xiàn)IM刪除信息恢復(fù)相關(guān)公開的技術(shù)文檔或?qū)＠afeAnalyzer是一款具備IM刪除信息恢復(fù)的軟件，但是由于對(duì)存儲(chǔ)IM信息的復(fù)合文件中的未使用空間挖掘不充分，導(dǎo)致只能恢復(fù)出部分的IM刪除信息。?

IM刪除信息恢復(fù)，主要依賴于復(fù)合文件中未使用空間的獲取和IM數(shù)據(jù)特征的搜索。目前已有的技術(shù)，對(duì)未分配空間的挖掘只限于文件殘留區(qū)和復(fù)合文件中空閑空間（即標(biāo)志為-1的塊）。由于，在很多情況下IM信息被刪除后，數(shù)據(jù)并沒有流入到文件殘留區(qū)或者空閑空間中，因此采用傳統(tǒng)的恢復(fù)方法往往恢復(fù)效果不盡人意。?

我們?cè)谘芯苛藦?fù)合文件格式的基礎(chǔ)上，提出了一種采用復(fù)合文件作為存儲(chǔ)結(jié)構(gòu)的IM刪除信息的恢復(fù)方法。該方法采用全局標(biāo)識(shí)的方法，盡最大可能的獲取了復(fù)合文件中未使用空間并進(jìn)行IM刪除信息恢復(fù)，從而使IM刪除信息的恢復(fù)更加完整和準(zhǔn)確。?

發(fā)明內(nèi)容

本發(fā)明所要解決的技術(shù)問(wèn)題是提供一種恢復(fù)準(zhǔn)確度高、恢復(fù)信息全面，通過(guò)全局標(biāo)識(shí)方法來(lái)恢復(fù)IM刪除信息的恢復(fù)方法。?

本發(fā)明是通過(guò)以下技術(shù)方案來(lái)實(shí)現(xiàn)的：一種IM刪除信息的恢復(fù)方法，包括未使用空間數(shù)據(jù)的獲取方法和從未使用空間中恢復(fù)刪除數(shù)據(jù)的方法，其中：?

刪除的IM信息數(shù)據(jù)主要流入到復(fù)合文件的三個(gè)地方：空閑扇區(qū)、文件殘留區(qū)、無(wú)目錄結(jié)構(gòu)對(duì)應(yīng)的扇區(qū)；

所述未使用空間數(shù)據(jù)的獲取方法由以下幾個(gè)步驟實(shí)現(xiàn)：

a)?預(yù)處理：解析復(fù)合文件的頭部結(jié)構(gòu)，并獲取長(zhǎng)扇區(qū)分配表SAT、短扇區(qū)分配表SSAT、以及長(zhǎng)扇區(qū)的長(zhǎng)度LSectorSize和短扇區(qū)長(zhǎng)度LSectorSize，并用N=LSectorSize/LSectorSize表示長(zhǎng)扇區(qū)長(zhǎng)度是短扇區(qū)長(zhǎng)度的多少倍，解析目錄流結(jié)構(gòu)，獲取復(fù)合文件中各個(gè)文件的對(duì)應(yīng)的扇區(qū)鏈；

b)?空閑扇區(qū)的獲取：空閑空間為扇區(qū)表中value為-1所對(duì)應(yīng)的扇區(qū)，因此獲取空閑空間的步驟為：遍歷整個(gè)扇區(qū)表，將扇區(qū)表中value為-1對(duì)應(yīng)的扇區(qū)的數(shù)據(jù)放入到pUnusedBuffer；

c)?文件殘留區(qū)的獲取；遍歷復(fù)合文件里面包含的所有文件，如果發(fā)現(xiàn)sectorsize*n＞filesize，則將該文件從偏移filesize到偏移sectorsize*n區(qū)間所包含的數(shù)據(jù)加入到pUnusedBuffer中；

d)?無(wú)目錄結(jié)構(gòu)對(duì)應(yīng)的扇區(qū)的獲取：在扇區(qū)表中，有一些扇區(qū)鏈沒有被文件指向，這些鏈對(duì)應(yīng)的扇區(qū)就是無(wú)目錄結(jié)構(gòu)的扇區(qū)，在某些情況下，當(dāng)一些IM信息被刪除時(shí)，只是清空相應(yīng)的目錄結(jié)構(gòu)，扇區(qū)表中的扇區(qū)鏈并沒有清空，為了獲取這些扇區(qū)的信息，采用全局標(biāo)記的方法進(jìn)行獲取；

所述從未使用空間中恢復(fù)刪除數(shù)據(jù)的方法由以下幾個(gè)步驟實(shí)現(xiàn)：

A)?刪除聊天記錄的恢復(fù):?確定所獲取的pUnusedBuffer數(shù)據(jù)中是否包含正常的聊天記錄需要以下步驟：

1）、初步判斷:根據(jù)聊天記錄的格式，判斷總長(zhǎng)度是否等于“0x14+4+dwBlockLen1+4+dwBlockLen2”；

2）、再次確認(rèn):對(duì)第二部分的數(shù)據(jù)進(jìn)行解密，判斷是否解密成功，并判斷解密后的頭8個(gè)字節(jié)為0x4d,0x53,0x47,0x00,0x00,0x00,0x00,0x00；

當(dāng)1）、2）步驟都判斷為是聊天記錄的格式是就開始按聊天記錄的格式去解析，解析完可進(jìn)一步判斷聊天記錄是好友、群還是討論組，具體做法為，根據(jù)第三部分?jǐn)?shù)據(jù)解出來(lái)的字段名和值的集合，在集合中查找接收者帳號(hào)ID對(duì)應(yīng)的值進(jìn)行判斷，通過(guò)分析正常聊天記錄的數(shù)據(jù)可知，群/討論組中的聊天記錄的接收者帳號(hào)為群/討論組的ID號(hào)，因此可在解析正常記錄時(shí)記錄所有群/討論組ID的集合，通過(guò)判斷接收者帳號(hào)是否在這個(gè)集合中來(lái)確定是否是群/討論組中的聊天記錄，如果不是群/討論組的聊天記錄，則根據(jù)對(duì)方的IM帳號(hào)ID進(jìn)行分組；