[发明专利]MP4格式的碎片文件恢复与重组的方法

摘要

本发明公开了一种MP4格式的碎片文件恢复与重组的方法，属于信息安全技术领域，001‑加载磁盘分区或镜像文件，识别其分区类型，根据文件系统获取簇大小nCluster，根据簇位图来查找该分区或者镜像文件的空闲簇；002‑解析MP4文件结构，对MP4数据区mdat box进行重组，找出mdat连续文件。本发明的有益效果如下：一个正常的mp4文件由多个box组成，一般分为管理区和数据区，本发明能处理管理区丢失的文件；可区分文件系统空闲区域，可准确查找到文件系统中所有mp4数据区的所有数据，通过特征数据中的大小对其进行重组，针对在存储介质中为非连续存储的数据碎片进行重组的数据恢复，数据恢复成功率高。

主权项

1.一种基于MP4格式的碎片文件恢复与重组的方法，其特征在于,包括如下步骤：001‑加载磁盘分区或镜像文件，识别其分区类型，根据文件系统获取簇大小nCluster，根据簇位图来查找该分区或者镜像文件的空闲簇；002‑解析MP4文件结构，对MP4数据区mdat box进行重组，找出mdat连续文件；所述002的具体方法如下：201‑在空闲区检索关键字0x0000XXXX，按照是否存在此类型的关键字划分集合，存在为集合Y，不存在为集合N,Y中元素的记录方式为(n,nPos),n表示簇号，nPos表示关键字在相对此簇起始的偏移地址,N中元素的记录方式为(n),n表示簇号；202‑Y(n)表示集合Y中的第n个元素，n初始化为1,取出F(n)，得到F(n)中关键字出现的次数；203‑判断关键字出现的次数，如果>1次，转到204，等于1次转到212；204‑使用关键字出现的次数来初始化值nTimes；205‑根据关键字，读取出数据块大小nSize，如果nSize>(nCluster‑nPos)，转到206,否则转到209；206‑从关键字后面向后跳转nSize个字节；207‑判断跳转出现的数据是否为关键字，如果是关键字，则转到208，否则转到209；208‑标记上一个关键字到当前位置内的数据为有效数据，添加到集合R中，所述集合R的元素的记录方式为(NO,Pos1,Pos2)，NO表示簇号的集合，所述集合NO的元素表示为(n1,n2,n3……)，Pos1、Pos2集合表示开始和结束相对于当前簇的偏移元素,所述偏移元素表示为(n,nPos)；209‑将此簇开始位置到关键字之前的数据添加到集合E中，元素的记录方式为(n，nSegSize2)，n表示簇号，nSegSize2表示当前块的大小，所述此簇开始位置到关键字之前的数据的值为Pos；210‑执行操作nTimes＝nTimes‑1；211‑判断当前nTimes是否等于1，如果不等于1，则转到204，否则转到212；212‑根据关键字，读取出数据块大小nSize，如果nSize>(nCluster‑nPos)，转到213，否则转到214；213‑执行n＝n+1，即丢弃当前簇；214‑将关键字之前的数据区块添加到集合E,将关键字之后的区块添加到集合B，集合B的元素记录方式为(n,nSize,nPos,nSegSize1),nSegSize1表示当前位置到此簇结束位置区块的大小，所述关键字之后的区块为nCluster‑nPos；215‑当完成对集合Y的遍历后，得到集合B，E及步骤201所述集合N，完成重组。