这里使用中国刑警学院课题组自行开发的NTFS文件系统日志检验分析软件对NTFS格式存储设备的日志文件进行检验分析, 获取被删除文件的相关信息, 主要包括文件名称、文件创建时间、文件修改时间、最后一次MFT记录变化时间、最后一次文件访问时间、文件大小、文件的覆盖率、文件数据的存储位置, 根据以上信息恢复被删除文件。

图1为应用NTFS日志检验分析软件从NTFS日志中提取出的3组删除痕迹, 每组删除痕迹之间用一个空行分隔, 以第1组删除痕迹为例进行说明。num是日志检验分析软件为每组删除痕迹自动添加的唯一编号, 本例为0; name是被删除文件的名称, 本例为ceshi_1.doc; c-time是被删除文件的创建时间; a-time是被删除文件的修改时间; m-time是被删除文件的最后一次MFT记录变化时间; r-time是被删除文件最后一次访问时间; size是被删除文件大小, 以簇块为单位, 本例为35簇; COVER是被删除文件的覆盖率, 本例为0%; datarun是被删除文件的数据存储位置, 在本例中被删除文件的数据实际存储在起始簇号为0X05E181即385409簇的地方, 共0X23即35个簇块, 这说明第1个被删除文件是连续存储的。

从图1可知第2、3个被删除文件是非连续存储的。其中第2个被删除文件数据存储在4段区域内, 其簇号范围是492796 ~ 492799、385444 ~ 385456、385476 ~ 385478、492802 ~ 492804, 共23个簇块。第3个被删除文件数据存储在3段存储区域内, 其簇号范围是385508 ~ 385517、385526 ~ 385527、385536 ~ 385538, 共15个簇块。根据图1所示的3组删除痕迹应用NTFS日志检验分析软件恢复出3个被删除文件。

图1

Fig. 1

	Figure Option ViewDownloadNew Window
	图1 从NTFS日志中提取出的3组删除痕迹Fig. 1 Traces of three deleted files from NTFS log file

图2给出了3个删除文件在硬盘内的实际存储情况, 下面以痕迹2为例说明。日志检验分析软件首先从$LogFile元文件中识别出第2个文件的删除痕迹, 根据其中保存的数据位置定位硬盘上的4段区域, 并确定其簇块次序为492796~492799、38544~ 385456、385476~385478、492802492804, 共23个簇块, 进而依次提取出这些簇块、组合成一个完整文件。

图2

Fig. 2

	Figure Option ViewDownloadNew Window
	图2 恢复出的3个删除文件Fig. 2 Three restored files

使用Final Data的快速扫描功能（即扫描$MFT元文件）恢复同一NTFS存储设备中的删除文件^[3]。扫描结果如图3所示, 可见识别出1个删除文件, 名称为~WRL0001.tmp, 文件的起始簇号为385508, 恢复出的文件与图1中的第3个删除文件完全相同。图1中另外2个删除文件的MFT记录已被覆盖, 因此没有识别出来。

图3

Fig. 3

	Figure Option ViewDownloadNew Window
	图3 使用Final Data的快速扫描恢复Fig. 3 Quick scan recovery by Final Data

$MFT元文件是NTFS下最重要的1个系统文件, 它记录着磁盘上每个文件和目录的基本信息, 这些信息包括：文件名、目录名、安全属性、目录索引、文件大小、安全位置等内容^[4]。元文件$MFT由一系列MFT记录组成, 每个MFT记录的大小为1KB。磁盘上每个文件或目录都对应了一个MFT记录, 本文将保存文件基本信息的MFT记录简称为MFT文件记录。当某个文件被删除之后, 如果其对应的MFT文件记录没有被覆盖, 则可以根据MFT文件记录完整恢复被删除的文件, 下面分析被删除文件“ ~WRL0001.tmp” 残留的MFT文件记录存储结构。（见图4）

图4

Fig. 4

	Figure Option ViewDownloadNew Window
	图4 被删除文件“ ~WRL0001.tmp” 残留的MFT记录Fig. 4 Residual MFT data from the deleted “ ~ WRL0001.tmp” file

前56个字节是文件记录头。文件记录头的前4个字节固定是ASCII码“ FILE” 。第23、24字节是标志字节, 值为0x0000, 表示这是一个被删除文件。如果是正常文件, 这个值应为0x0001。第81~88字节是文件的创建时间。第89~96字节是文件的修改时间。第97~104字节是MFT记录变化时间。第105~112字节是文件的最后一次访问时间。第243~264字节是采用Unicode表示的文件名, 共24个字节, 值为“ ~WRL0001.tmp” 。第353~360字节是文件的占用空间大小, 值为0x F0 00 = 61440字节, 即15簇。第361~368字节是文件的实际大小, 值为0x E6 00 = 58880字节。

第377~392字节为数据存储位置, 值为0x 31 0A E4 E1 05 11 02 12 11 03 0A 00 00 D0 90 E1, 其中包含3个数据运行, 分别是0x 31 0A E4 E1 05、11 02 12和11 03 0A。整个文件数据由3块空间组成, 每个数据运行标识一块空间。第1块空间的起始簇号是0x 05 E1 E4 = 385508, 空间大小为0x 0A = 10簇。第2块空间的起始簇号是0x 12, 但这是与第1个数据运行的相对地址, 因此第2块空间的起始簇号是0x 05 E1 E4 + 0x 12 = 0x 05 E1 F6 = 385526, 空间大小为0x 02 = 2簇。同理第3块空间的起始簇号也是与第2个数据运行的相对地址, 因此第3块空间的起始簇号是0x 05 E1 F6 + 0x 0A = 0x 05 E2 00 = 385536, 空间大小是0x 03 = 3簇。

根据这个残留的MFT记录可以恢复出被删除文件“ ~WRL0001.tmp” 的名称、创建时间、修改时间、最后一次MFT记录变化时间、最后一次文件访问时间、文件大小、文件的覆盖率、文件数据的存储位置。

使用Final Data的完整扫描功能（即扫描NTFS分区的空闲空间）恢复同一NTFS存储设备中的删除文件。扫描结果如图5所示, 可见识别出3个删除文件。第1个文件的起始簇号为492796, 对应图1中的第2组删除痕迹。第2个文件的起始簇号为385508。对应图1中的第3组删除痕迹。第3个文件的起始簇号为385409。对应图1中的第1组删除痕迹。恢复出的3个文件中只有第3个文件可以正常使用, 恢复出文件的名称和时间信息丢失。

图5

Fig. 5

	Figure Option ViewDownloadNew Window
	图5 使用Final Data的完整扫描恢复Fig. 5 Full scan recovery by Final Data

由于3个被删除文件均为Office2003版本Doc文件, 这类文件的头部特征值为0X D0 CF 11 E0 A1 B1 1A E1。Final Data软件根据这一特征值从硬盘空闲空间内找到这3个被删除文件, 图6为使用winhex查看到的3个被删除文件的头部数据, 可见每个文件的起始8个字节均为Doc文件特征值。

图6

Fig. 6

	Figure Option ViewDownloadNew Window
	图6 3个被删除文件的头部特征值Fig. 6 Peculiar head data of the three deleted files

图7显示的是Final Data恢复结果与删除文件实际存储情况的对比, 下面依次分析。Final Data在385409簇识别出Doc文件头部特征值, 将其后连续48个簇块合并成一个Doc文件。而该文件的实际存储情况是从385409簇开始, 共35簇。Final Data的恢复范围包含了删除文件的实际存储范围, 因此Final Data恢复出的这一文件可以正常使用。

随后, Final Data在385508簇识别出Doc文件头部特征值, 并将其后的15个簇块合并成1个Doc文件。而该文件实际存储在385508、385526、385536簇开始的3段空间内, Final Data只恢复出第1段存储空间的数据, 其它2段丢失, 因此恢复出的文件不可使用。

Final Data在492796簇识别出1个Doc文件特征值, 并将其后的32个簇块合并成1个Doc文件。但该文件实际存储在385444、385476、492796、492802簇开始的4段空间内, Final Data只恢复出第1、4段数据, 但这两段数据次序错误, 并且其间掺杂了大量无关数据, 因此恢复出的文件无法使用。

图7

Fig. 7

	Figure Option ViewDownloadNew Window
	图7 Final Data恢复结果与删除文件实际存储情况对比Fig. 7 Recovery result and the actual storage condition