[发明专利]一种提取已删除文件碎片的方法、终端设备及存储介质

说明书

本发明涉及一种提取已删除文件碎片的方法、终端设备及存储介质，在该方法中，包括以下步骤S100：获取移动终端的镜像文件；S200：在镜像文件中定位出用户数据区；S300：提取用户数据区文件系统的未使用空间，设定该未使用空间的大小为K；S400：以逻辑块大小Z为单位，遍历用户数据区文件系统的未使用空间，提取所有明文和密文数据，应用明文可以直接作为SQLite记录分析的源碎片，而密文则需要进行解密；S500：对提取的密文进行解密。本发明通过遍历镜像文件的用户数据区的未使用空间，通过匹配应用的特征数据，提取所有的明文和密文碎片，并对密文碎片进行破解，还原成SQLITE文件碎片。

技术领域

本发明涉及计算机文件系统领域，尤其涉及一种提取已删除文件碎片的方法、终端设备及存储介质。

背景技术

数据恢复时指通过技术手段，将保存在台式机硬盘、笔记本硬盘、服务器硬盘、存储磁带库、移动硬盘、U盘、数码存储卡、Mp3等等设备上丢失的电子数据进行抢救和恢复的技术。

目前在移动终端领域，应用的删除卸载恢复，有着广泛的需求。而大部分应用的删除卸载恢复都是基于SQLite数据库的恢复。由于SQLite数据库的空间分配、覆盖和回收机制，我们一般能恢复的数据相对有限。特别是对于微信等一些应用，由于采用安全删除机制，数据删除后立即清零，从SQLite数据库恢复已删除数据变得几乎完全不可能了。

发明内容

为了解决上述问题，本发明旨在提供一种提取已删除文件碎片的方法、终端设备及存储介质，通过遍历镜像文件的用户数据区的未使用空间，通过匹配应用的特征数据，提取所有的明文和密文碎片，并对密文碎片进行破解，还原成SQLITE文件碎片。

具体方案如下：

1.一种提取已删除文件碎片的方法，包括以下步骤：

S100：获取移动终端的镜像文件；

S200：在镜像文件中定位出用户数据区；

S300：提取用户数据区文件系统的未使用空间，设定该未使用空间的大小为K；

S400：以逻辑块大小Z为单位，遍历用户数据区文件系统的未使用空间，提取所有明文和密文数据，具体过程包括：

S410：读取未使用空间的第一个逻辑块；

S420：分析该逻辑块的头部特征标记；

S430：判断所述头部特征是否符合特定应用的头部特征，如果符合，设定包含头部特征的逻辑块为头部逻辑块，进入S440，如果不符合，读取下一个逻辑块，进入S450；

所述头部逻辑块包含头部长度H、所述特定应用所包含的明文或密文块的数量N；

S440：已知明文或密文块大小为X，通过头部逻辑块，获取其内的头部长度H、明文或密文块数量N，设定所述特定应用碎片占用的地址长度为L，则L＝H+N×X，通过公式M＝L/Z计算出占用的逻辑块数量M，设定M个逻辑块的数据为一份明文或密文，将M个逻辑块的数据进行保存，读取下M个逻辑块的数据，进入S450；

所述应用碎片包括未使用空间内该应用的所有数据；

S450：判定读取的逻辑块首地址是否超过未使用空间大小，当超过时，结束，当未超过时，返回S420；

S500：设定步骤S400中提取了W份密文，对提取的密文进行解密，具体步骤包括：

S510：从镜像中提取所述密文解密所需要的密钥；

S520：读取第一份密文；

S530：读取该密文的头部长度H、该份密文中包含的密文块的数量N和设定密文块偏移的位置P＝H；