基于特征扫描的Windows回收站删除记录取证方法

摘要

本发明涉及一种基于特征扫描的Windows回收站删除记录取证方法，其包括如下步骤：(1)获取取证目标磁盘镜像文件；(2)判断该磁盘镜像文件中Windows系统的版本是Windows XP或Windows Vista/Windows 7；(3)根据所述步骤(2)判断的系统版本，通过与该系统版本相应的特征扫描方法扫描磁盘，恢复回收站删除文件记录；(4)通过恢复的回收站删除文件记录，根据其格式提取回收站删除文件信息，为提取删除文件信息中的证据信息或取证线索提供数据基础，完成回收站删除文件记录取证。本发明能有效地恢复用户回收站删除文件记录信息，恢复成功率高，能覆盖所有主流版本Windows的回收站机制。本发明可以广泛应用于计算机取证领域应用中。

主权项

一种基于特征扫描的Windows回收站删除记录取证方法，其包括如下步骤：(1)获取取证目标磁盘镜像文件；(2)判断该磁盘镜像文件中Windows系统的版本是Windows XP或Windows 7；(3)根据所述步骤(2)判断的系统版本，通过与该系统版本相应的特征扫描方法扫描磁盘镜像文件，获得回收站删除文件记录；(4)通过获得的回收站删除文件记录，根据其格式提取回收站删除文件信息，为提取删除文件信息中的证据信息或取证线索提供数据基础，完成回收站删除文件记录取证。