[发明专利]一种基于JFFS2文件系统的文件增删改痕迹分析方法及系统

说明书

本发明给出了一种基于JFFS2文件系统的文件增删改痕迹分析方法及系统，包括通过提取JFFS2文件系统中的一个文件信息节点，根据所述文件信息节点的文件唯一标识ID提取具有与所述文件唯一标识ID相同的所属文件ID的数据节点，将所有所述数据节点组成集合SD；再提取所述集合SD中的一个数据节点记为数据节点Dsubgt;N/subgt;；最后根据所述数据节点Dsubgt;N/subgt;的文件大小iSize、所属文件数据偏移offset和原始数据解压长度dsize之间的关系判断所述文件信息节点中文件名所指向的文件的增加、删除和修改状态。实现了对JFFS2文件系统的文件数据在各历史时段的增删改痕迹的深度分析，对电子数据取证及数据具有重大的意义。

技术领域

本发明涉及计算机取证安全技术领域，尤其是一种基于JFFS2文件系统的文件增删改痕迹分析方法及系统。

背景技术

JFFS2作为闪存FLASH上使用非常广泛的嵌入式文件系统，在嵌入式系统中被普遍应用。随着物联网技术的发展与普及，对于JFFS2文件系统的文件数据痕迹分析在智能设备安全及网络信息安全领域将是一个备受关注的热点。本方案基于JFFS2文件系统日志型节点特性提出一种文件增删改痕迹分析方法，既提取JFFS2文件系统文件日志节点元数据信息：如文件大小、偏移值、节点版本号、创建修改时间等综合分析出文件增删改操作痕迹。

JFFS2文件数据被写入时，对应的数据及节点信息会被分片存储在不同区域。目前，缺乏针对JFFS2文件系统文件增删改操作痕迹的分析方法。本文在对JFFS2文件系统结构分析测试的基础上，提出了一种JFFS2文件增删改痕迹分析方法，该方法基于JFFS2文件系统日志节点元数据信息，如文件大小、偏移值、节点版本号、创建修改时间等综合分析出文件增删改操作痕迹，从而达到对文件数据操作历史痕迹分析目的。

发明内容

本发明提出了一种基于JFFS2文件系统的文件增删改痕迹分析方法及系统，以解决上文提到的现有技术的缺陷。

在一个方面，本发明提出了一种基于JFFS2文件系统的文件增删改痕迹分析方法，该方法包括以下步骤：

S1：提取JFFS2文件系统中的一个文件信息节点，根据所述文件信息节点的文件唯一标识ID提取具有与所述文件唯一标识ID相同的所属文件ID的数据节点，将所有所述数据节点组成集合SD；

S2：提取所述集合SD中的一个数据节点记为数据节点D_N；

S3:根据所述数据节点D_N的文件大小iSize、所属文件数据偏移offset和原始数据解压长度dsize之间的关系判断所述文件信息节点中文件名所指向的文件的增加、删除和修改状态。

以上方法基于JFFS2文件系统日志节点元数据信息，如文件大小、偏移值、节点版本号、创建修改时间等综合分析出文件增删改操作痕迹，从而达到对文件数据操作历史痕迹分析目的。实现了对JFFS2文件系统的文件数据在各历史时段的增删改痕迹的深度分析，对电子数据取证及数据具有重大的意义。

在具体的实施例中，所述步骤S3具体包括：

提取所述数据节点D_N的时间、文件大小iSize、所属文件数据偏移offset和原始数据解压长度dsize：

当iSize＝offset+dsize且offset及dsize值非零时，表示所述文件信息节点中文件名所指向的文件在所述时间内有内容的新增；

当iSizeoffset+dsize且offset及dsize值非零时，表示所述文件信息节点中文件名所指向的文件在所述时间内有内容的修改；

当iSize、offset及dsize值都为零时，表示所述文件信息节点中文件名所指向的文件在所述时间内有内容被删除。