[发明专利]一种手机内存芯片镜像文件重组成标准文件系统的方法

说明书

技术领域

本发明涉及到司法取证领域，特别是手机司法取证领域，具体涉及到一种针对手机内存芯片镜像文件重组成标准文件系统的方法。

背景技术

随着移动通信技术所提供服务水平和服务种类的不断提高和扩充，手机已日益成为人们工作生活中不可或缺的联系工具。然而与此同时，利用手机进行诈骗、诽谤和伪造等犯罪活动也屡见不鲜。手机取证正是打击这类犯罪的一个有效手段。手机取证就是从手机SIM卡、手机内存、手机外置存储卡以及移动网络运营商数据库中收集、保全和分析相关的电子证据，并最终从中获得具有法律效力、能被法庭所接受的证据的过程。目前牵涉到手机的犯罪行为大致有三种；一是在犯罪行为的实施过程中使用手机来充当通信联络工具；二是手机被用作一种犯罪证据的存储媒质；最后一种方式是手机被当作短信诈骗、短信骚扰和病毒软件传播等新型手机犯罪活动的实施工具。这些都充分地表明进行手机取证技术的相关研究对于维持社会稳定、保障人民权益和打击犯罪行为具有充分的必要性和极大的迫切性。

手机中内存芯片一般采用NAND和NOR格式的存储芯片，根据芯片厂商和型号规格的不同，存储为私有的数据格式。目前对手机内存中的个人数据一般采用特征搜索的方式进行分析，这种方式由于没有重组成标准的文件系统，也不便于查看及使用第三方磁盘分析工具进行再次分析。通过搜索分析出的数据不能区分是正常的记录还是已经删除的记录，也不能区分文件系统中的文件内容。

综上所述，针对现有技术的缺陷，特别需要一种针对手机内存芯片镜像文件重组成标准文件系统的方法，以解决现有技术的不足。

发明内容

本发明的目的是提供一种手机内存芯片镜像文件重组成标准文件系统的方法，根据不同芯片的特征产生不同的手机内存镜像映射表，映射表反映了文件系统中块和扇区在手机芯片存储区中的偏移信息，按映射表中的提供的映射信息重新还原成一个标准的文件系统结构，从而实现本发明的目的。

本发明所解决的技术问题可以采用以下技术方案来实现：

一种手机内存芯片镜像文件重组成标准文件系统的方法，其特征在于，所述方法包括如下步骤：

1)确认手机内存存储芯片的存储格式、存储类型和特征；

2)根据存储芯片的存储格式和特征分离出代码区和存储区；

3)根据存储芯片的存储类型和特征，把存储区再分离成管理区和数据区；

4)根据管理区的特征，产生一张数据区到实际文件系统结构的映射表；

5)通过映射表将数据区重新组合，还原成一个标准的文件系统格式。

在本发明的一个实施例中，所述存储芯片中的存储格式由NAND格式或NOR格式中的一种或几种组成。

在本发明的一个实施例中，所述方法先分析镜像文件的结构，再重组成标准文件系统。

本发明的有益效果在于：能够通过重新组合，把手机内存芯片镜像还原成标准的文件系统，更易于进行进一步的数据挖掘。能够更好的提取手机内存中的存储的信息，且更好的区分现有记录还是已经删除的记录。

具体实施方式

为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体图示，进一步阐述本发明。

一种手机内存芯片镜像文件重组成标准文件系统的方法，根据不同芯片的特征产生不同的手机内存镜像映射表，映射表反映了文件系统中块和扇区在手机芯片存储区中的偏移信息，按映射表中的提供的映射信息重新还原成一个标准的文件系统结构，具体包括如下步骤：

1)确认手机内存存储芯片的存储格式、存储类型和特征；

2)根据存储芯片的存储格式和特征分离出代码区和存储区；

3)根据存储芯片的存储类型和特征，把存储区再分离成管理区和数据区；

4)根据管理区的特征，产生一张数据区到实际文件系统结构的映射表；

5)通过映射表将数据区重新组合，还原成一个标准的文件系统格式。

下面以联想i908为例，具体说明：

1.分析NAND芯片

“典型”NAND镜像，此处用联想i908镜像做分析镜像大小为66M。

NAND和NOR芯片的组成都分为管理区和数据区。数据区是实际的数据，通常单位是512字节/扇区。手机基本上采用标准的FAT32文件系统。

因此，管理区就管理如何将扇区中的数据映射到文件系统。