[发明专利]一种JPG碎片文件恢复与重组的方法

说明书

技术领域

本发明涉及信息安全技术领域，特别涉及一种JPG碎片文件恢复与重组的方法。

背景技术

JPG格式是一种图片格式，是一种比较常见的图画格式，在信息化迅速发展的21世纪，计算机技术日新月异，与人们的日常生活息息相关，存储设备数据丢失往往能给个人，甚至企业单位带来无尽的烦恼与麻烦，在涉及计算机数据存储工作中，如在企业工作中，企业数据丢失造成的损失是不可估量的，小则使公司无法开展工作，大则可能导致企业损失惨重而倒闭，特别是在信息化企业中，公司的电子资料就是他们的命脉，如能恢复这些资料将能拯救企业，让企业的损失降到最低；如在公安领域，这些数据也许就是案件的电子证据，如果检验人员能够获取更多计算机中的数据，那么就更加有利于案件的早日侦破，也能够向法庭提供更多的可靠的证据；这对取证，特别是数据恢复工作提出了更高的要求。

目前，市场上使用最为流行的数据取证商业软件有encase、winhex、R-stdio等，这些软件在常规文件记录存在，且文件连续是可以恢复的；一旦遇到文件记录不在或者文件存储位置不连续就无法恢复出这些文件中的数据或者关键信息。

发明内容

本发明针对现有技术的缺陷，提供了一种JPG碎片文件恢复与重组的方法，能有效的解决上述现有技术存在的问题。

一种JPG碎片文件恢复与重组的方法，包括以下步骤：

S1：加载磁盘分区或镜像文件，识别其分区类型，根据文件系统来查找该分区或者镜像的空闲簇，并按照顺序将空闲簇依次写入创建的空闲区集合，将空闲区集合定义为集合F，将存入集合F的一个空闲簇定义为一个元素F；

S2：在集合F中检索含有JPG文件特征头的簇，并将含有JPG文件特征头的元素F组成数据块按照顺序依次写入创建的JPG头块集合中；将JPG头块集合定义为集合H，存入集合H的一个数据块定义为一个元素H；并在集合F中剔除含有其他文件特征的元素F；

S3：在集合F中检索包含JPG文件特征尾的簇，并按照顺序将空闲簇号依次写入创建的JPG尾块合集中，将JPG尾块合集定义为集合E；

S4：根据上述集合F、集合H、集合E进行数据重组恢复，完成JPG碎片拼接过程；

S5：将S4中获取的数据进行整理后导出正确的JPG文件。

作为优选，S2的详细流程如下所述：

S21：遍历查找集合F，读取集合F中每一个元素F的数据内容；

S22：根据JPG文件特征头对每一个元素F进行校验,找符合JPG文件特征头的元素F；

S23：根据步骤S22中得到的符合JPG文件特征头元素F，获取元素F后连续的空闲簇组成一个元素H，写入创建的集合H中，同时，在校验集合F每个元素F的数据后，剔除带有其他文件特征的元素F，更新集合F；

S24：读取集合H中的第一个元素H的数据内容；设该元素为H_n；所述n的初始值为1；

S25：根据JPG文件的结构特征，校验H_n中所对应的簇的数据内容是否包含JPG文件的全部标志信息，若包含则跳至S29，若不包含则跳至S26；

S26：准确定位JPG文件的全部标志信息所在的簇，剔除不包含JPG文件标志信息的簇，更新H_n；

S27：执行n＝n+1，再读取全新H_n的数据内容；

S28：判断S27读取的H_n元素是否到达集合H的尾部，若超出范围则跳至S29,否则跳至S24；

S29：剔除S25中校验不合格的簇，获取S26中的更新，重新整理集合H的元素。

作为优选，S4的详细流程如下所述：

S41：由集合F-(集合H+集合E)得到集合W；在集合H中遍历每一个元素H并读取单个元素记录的最后一个簇，在集合F中定位该簇并取其后的4个元素F所记录的簇作为新集合的一个元素D，直至完成所有集合H的遍历；集合E和集合W以此方法继续创建元素D，由元素D按顺序组成新的集合D；

S42：读取集合H中的第n个元素对应的内容，n的初始值为1；

S43：读取集合D中第m个元素的数据，该数据为D_m，m需满足使元素D_m中记录的第一个簇号大于H_n中记录的最后的一个簇号；

S44：按照集合H中数据在前，集合D中数据在后的方式组合数据；