[发明专利]一种查找和恢复SQLserver数据库中被修改记录的方法

说明书

技术领域

本发明属于数据恢复与电子取证领域，涉及数据库的数据恢复与取证，尤其涉及一种查找和恢复SQL server数据库中被修改记录的方法。

背景技术

SQL Server是由Microsoft开发和推广的关系数据库管理系统(DBMS)，具有使用方便可伸缩性好与相关软件集成程度高等优点，可跨越从运行Microsoft Windows 98的膝上型电脑到运行Microsoft Windows 2012的大型多处理器的服务器等多种平台使用，其最大的优势就是在于集成了Microsoft公司的各类产品及资源，提供了强大的可视化界面、高度集成的管理开发工具，在快速构建商业智能(BI)方面颇有建树。SQL Server是Microsoft公司在软件集成方案中的重要一环，在面向中小企业的数据库应用中具有广泛的基础和重要的地位。

但是，由于没有及时备份SQL Server数据库的数据，用户各种误操作而修改了数据库的数据后，想要恢复被修改的数据就变得比较困难。另一方面，由于操作者故意修改SQL Server数据库的数据，想要查找被修改的数据并取得确凿的证据也是比较困难的。

发明内容

本发明针对现有技术的不足和上述问题，提出一种查找和恢复SQL server数据库中被修改记录的方法，将被修改的数据库文件底层的解析结果与日志文件底层的解析结果进行对比，查找并恢复被修改的数据，所述方法包括以下步骤：

S1：查找并打开被修改的数据库文件，所述被修改的数据库文件打开后为十六进制文件；

S2：解析所述被修改的数据库文件中的一个或多个记录，每一记录由多个字段组成，每一所述记录顺序地包括记录特征头、第一字段、字段间隔标识、第二字段、字段间隔标识、……,、字段间隔标识、第n字段，其中，n为大于零的自然数；

S3：查找并打开所述被修改的数据库文件所对应的日志文件，所述日志文件打开后为十六进制文件；

S4：解析所述日志文件中的一个或多个记录，每一记录由多个字段组成，每一所述记录顺序地包括记录特征头、第一字段、字段间隔标识、第二字段、字段间隔标识、……,、字段间隔标识、第n字段，其中，n为大于零的自然数；

S5：将所述被修改的数据库文件的解析结果与所述日志文件的解析结果进行对比，查找并恢复被修改的数据。

作为优选，所述被修改的数据库文件为后缀mdf的文件，所述日志文件为后缀ldf的文件。

作为优选，所述被修改的数据库文件中的记录与所述日志文件中的记录具有相同的数据结构，不同之处在于，所述日志文件中的记录之间具有长度不等的填充数据，而所述被修改的数据库文件中的记录之间无填充数据。

作为优选，所述步骤S2中，解析所述被修改的数据库文件中的一个或多个记录包括以下步骤：

S201：查找所述记录特征头：每一所述记录前四个字节为所述记录特征头，每一所述数据库文件中的各个所述记录特征头均相同；

S202：查找所述字段及所述字段间隔标识：所述记录特征头后的一个或多个字节为所述第一字段，所述第一字段后连续11个字节为所述字段间隔标识，所述连续11个字节为000000000200000100xxxx，其中，xxxx为2字节的任意十六进制数；所述字段间隔标识后为第二字段，各字段间均具有所述字段间隔标识，且各字段间依此格式循环。

作为优选，所述步骤S4中，解析所述日志文件中的一个或多个记录包括以下步骤：

S401：查找所述记录特征头：每一所述记录前四个字节为所述记录特征头，每一所述日志文件中的各个所述记录特征头均相同；

S402：查找所述字段及所述字段间隔标识：所述记录特征头后的一个或多个字节为所述第一字段，所述第一字段后连续11个字节为所述字段间隔标识，所述连续11个字节为000000000200000100xxxx，其中，xxxx为2字节的任意十六进制数；所述字段间隔标识后为第二字段，各字段间均具有所述字段间隔标识，且各字段间依此格式循环。

作为优选，所述被修改的数据库文件中的所述记录特征头与所对应的所述日志文件中的所述记录特征头相同。

与现有技术相比，本发明的有益效果是可以恢复SQL Server数据库被修改的数据及确定SQL Server数据库的修改痕迹，对数据库的恢复和取证具有有益的效果。

附图说明

图1为本发明的主流程图。

图2为本发明中解析被修改的数据库文件的处理流程图。

图3为本发明中解析日志文件的处理流程图。