一种根据痕迹类型进行编码还原的痕迹信息获取方法

摘要

本发明公开了一种根据痕迹类型进行编码还原的痕迹信息获取方法，包括以下步骤：（1）分析待检索痕迹格式的类型以及痕迹在存储介质中的存储方式，确定痕迹在存储介质中的检索方法；（2）采用直接读取的方式打开存储介质，里面的每一个数据包含所要搜索痕迹的信息；（3）读取存储介质的定位痕迹在存储介质中存储的包括位置和大小信息的数据；（4）在数据中检索需要的痕迹；（5）按照痕迹的格式对痕迹进行编码还原，对检索到的痕迹数据进行解析；（6）提取需要的痕迹信息。本发明不依赖文件系统，不依赖操作系统，通过直接对存储介质数据的分析，特别是对于经常删除经常修改的信息类型中原始数据的提取，有着很大的优势。

主权项

一种根据痕迹类型进行编码还原的痕迹信息获取方法，其特征在于：包括以下步骤：(1)分析待检索痕迹格式的类型以及痕迹在存储介质中的存储方式，确定痕迹在存储介质中的检索方法；(2)采用直接读取的方式打开存储介质，直接将整个存储介质定义为一块数据，里面的每一个数据包含所要搜索痕迹的信息；(3)读取存储介质的定位痕迹在存储介质中存储的包括位置和大小信息的数据；(4)根据步骤(3)读取的数据，按照步骤(1)中确定的检索方法，在数据中检索需要的痕迹；(5)按照痕迹的格式对痕迹进行编码还原，对检索到的痕迹数据进行解析；(6)按照步骤(5)的解析结果，提取需要的痕迹信息；所述步骤(1)中的检索方法包括以下步骤：(Ⅰ)预先找出待检索格式的特征值；(Ⅱ)在磁盘中对这些特征值进行检索，将检索到的每一个点都当作待检索痕迹所在的位置进行分析；(Ⅲ)在分析的过程中按照痕迹的格式解析，同时对误报为痕迹的部分进行过滤，最终取得真正痕迹所在的位置数据。