基于ntfs文件系统的计算机取证研究

《基于ntfs文件系统的计算机取证研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、分类号TP309．03密级公开重庆邮电大学硕士学位论文论文题目基于NTFS文件系统的计算机取证研究英文题目AStudyofComputerforensicsbasedon硕士研究生王石东指导教师杜江副教授学科专业计算机应用技术论文提交日期论文评阅人答辩委员会主席邱玉辉教援西由盔学2010年5月29日独创性声明本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得重废由E电盔堂或其他教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做

2、的任何贡献均已在论文中作了明确的说明并表示谢意。学位论文作者签名：王五奇、签字日期：乙aI口年r月明日学位论文版权使用授权书本学位论文作者完全了解重麽邮电太堂有关保留、使用学位论文的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论文被查阅和借阅。本人授权一重庆邮电太堂可以将学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存、汇编学位论文。(保密的学位论文在解密后适用本授权书)学位论文作者签名：卫屈寿、导师签名：签字日期．2·‘。年}叫日签字日期．功10年如]日重庆邮电大学硕士学位论文摘要信息技术的发展使得利用计算机系

3、统作为犯罪的工具或目标的案件在司法案件中逐年增多，因此电子证据成为越来越多的诉讼证据，如何能有效地获取电子证据日益成为一个迫切需要解决的问题。BitSureI勘验取证系统是公安部的科技创新项目，它的产生正是为了解决取证中面临的各种问题。本文所讨论的BitSurcI勘验取证系统属于计算机取证产品中的一种，利用专用硬件对磁介质存储设备取证，主要分为取证系统和证据的主机分析系统，取证系统的主要功能是磁盘复制功能，此功能可以确保存储介质上被提取的数据位对位的精确复制，为主机分析系统提供克隆副本，主机分析功能是对证据盘的数据进行取证分析，数据恢复模块是主机分析系统中的主要模块。本

4、文主要研究在取证系统中，如何实现基于NTFS文件系统下的数据恢复功能以及恢复出的文件如何能满足计算机取证的各种要求，主要完成以下的工作：首先介绍了计算机取证技术的研究背景和数据恢复技术在计算机取证中的重要性，并对BitSurcII作原理和数据恢复技术进行了描述。其次，阐述了基于NTFS文件系统数据恢复模块的架构设计，通过对NrFS文件系统中MFT及其文件记录的分析，详细描述了数据恢复模块(包含磁盘分析模块，分区扫描模块，删除数据恢复模块)的实现：最后对设计的数据恢复模块进行了测试和总结，软件的功能和性能都达到了设计要求。关键词：计算机取证，数据恢复，NTFS，MFT，文

5、件记录重庆邮电大学硕士学位论文AbstractDevelopmentofinformationtechnologymakestheuseofacomputersystemasatoolortargetofcrimecasesinthejudicialcasesincreasingyearbyyear，SOmoreandmoreelectronicevidenceaslitigationevidence，howtoaccesstheelectronicevidenceseffectivelyisbecominganurgenttask．ForensicssystemofB

6、itSureIisscientificandtechnologicalprojectofinnovationoftheMinistryofPublicSecurity,whichistheproductioninordertosolvetheproblemsfaced．DiscussedinthisarticleBitSureIinquisitionForensicsSystemisal【iIldofcomputerforensicsproducts，dedicatedhardwareOllthemagneticmediumstoragedeviceisusedforc

7、omputerforensics，thesystemcanbedividedintoforensicssystemandtheevidenceanalysissystem，forensicssystem’Smainfunctionistodiskcopyfunctionality，thisfunctionCanbeusedtoensurethedataBit—to-Bitcopyexactlytoprovideaclonedcopyoforiginaldisk，evidenceanalysissystemisusedtoanalysist