[发明专利]一种提取已删除文件碎片的方法、终端设备及存储介质

摘要

本发明涉及一种提取已删除文件碎片的方法、终端设备及存储介质，在该方法中，包括以下步骤S100：获取移动终端的镜像文件；S200：在镜像文件中定位出用户数据区；S300：提取用户数据区文件系统的未使用空间，设定该未使用空间的大小为K；S400：以逻辑块大小Z为单位，遍历用户数据区文件系统的未使用空间，提取所有明文和密文数据，应用明文可以直接作为SQLite记录分析的源碎片，而密文则需要进行解密；S500：对提取的密文进行解密。本发明通过遍历镜像文件的用户数据区的未使用空间，通过匹配应用的特征数据，提取所有的明文和密文碎片，并对密文碎片进行破解，还原成SQLITE文件碎片。

主权项

1.一种提取已删除文件碎片的方法，其特征在于：包括以下步骤：S100：获取移动终端的镜像文件；S200：在镜像文件中定位出用户数据区；S300：提取用户数据区文件系统的未使用空间，设定该未使用空间的大小为K；S400：以逻辑块大小Z为单位，遍历用户数据区文件系统的未使用空间，提取所有明文和密文数据，具体过程包括：S410：读取未使用空间的第一个逻辑块；S420：分析该逻辑块的头部特征标记；S430：判断所述头部特征是否符合特定应用的头部特征，如果符合，设定包含头部特征的逻辑块为头部逻辑块，进入S440，如果不符合，读取下一个逻辑块，进入S450；所述头部逻辑块包含头部长度H、所述特定应用所包含的明文或密文块的数量N；S440：已知明文或密文块大小为X，通过头部逻辑块，获取其内的头部长度H、明文或密文块数量N，设定特定应用的碎片占用的地址长度为L，则L＝H+N×X，通过公式M＝L/Z计算出占用的逻辑块数量M，设定M个逻辑块的数据为一份明文或密文，将M个逻辑块的数据进行保存，读取下M个逻辑块的数据，进入S450；所述特定应用的碎片包括未使用空间内该应用的所有数据；S450：判定读取的逻辑块首地址是否超过未使用空间大小，当超过时，结束，当未超过时，返回S420；S500：设定步骤S400中提取了W份密文，对提取的密文进行解密，具体步骤包括：S510：从镜像中提取所述密文解密所需要的密钥；S520：读取第一份密文；S530：读取该密文的头部长度H、该份密文中包含的密文块的数量N和设定密文块偏移的位置P＝H；S540：使用上述密钥对当前密文块进行破解；S550：判定破解后的密文块内的数据是否合法，如果是，进入S560，如果否，进入S570；S560：保存上述密文块内的数据；S570：偏移到位置为P＝P+X，判断N块密文块是否全部破解完毕，如果是，进入S580，如果不是，返回S540；S580：判断W份密文是否破解完毕，如果是，结束，如果不是，读取下一份密文，返回S530。