面向NAND閃存的SQLite數(shù)據(jù)恢復技術(shù)研究與應(yīng)用.pdf

1、隨著智能移動終端的廣泛普及與應(yīng)用，其主要存儲介質(zhì)NAND閃存也逐漸成為一種重要的數(shù)據(jù)取證源。SQLite數(shù)據(jù)庫由于具有占用資源低、易移植和易操作等特點，被廣泛應(yīng)用于嵌入式系統(tǒng)中保存用戶和應(yīng)用程序的信息。然而，由于NAND閃存一方面在硬件上具有耐擦寫次數(shù)低且不支持原地擦寫的“異地存儲”等物理特性；另一方面在軟件上其文件系統(tǒng)往往采用按塊擦寫、磨損均衡和垃圾回收等特殊機制，使得傳統(tǒng)磁盤上的數(shù)字取證技術(shù)很難在NAND芯片上取得很好的效果。因此，

2、面向NAND閃存的SQLite數(shù)據(jù)恢復技術(shù)也成為數(shù)字取證領(lǐng)域的一個研究熱點和難點。本文基于YAFFS2文件系統(tǒng)和SQLite的特性，對NAND芯片上SQLite數(shù)據(jù)恢復技術(shù)展開了研究。
　　首先，提出了一種恢復NAND閃存上的SQLite數(shù)據(jù)庫中已刪除記錄的技術(shù)。利用YAFFS2的頁面順序分配原則和垃圾回收特性，借助存儲在備份區(qū)域中的文件系統(tǒng)元信息，通過恢復出修改前的數(shù)據(jù)庫文件和修改時創(chuàng)建的回滾日志文件來實現(xiàn)已刪除記錄的恢復。在L

3、inux平臺下的模擬實驗和真實手機中的實驗表明了本文方法的可行性，在DFRWS公開數(shù)據(jù)集上的實驗驗證了提出的方法可應(yīng)用于真實場景。
　　其次，提出了一種數(shù)據(jù)庫歷史記錄恢復和用戶行為時間軸構(gòu)建的方法。在NAND閃存上SQLite已刪除記錄的恢復技術(shù)基礎(chǔ)上，提出了一種SQLite數(shù)據(jù)庫歷史記錄恢復方法，并利用底層SQL事件到用戶行為的抽象技術(shù)來建立用戶行為的時間軸。在基于人工設(shè)計的Linux模擬環(huán)境、真實手機和DFRWS數(shù)據(jù)集上的實驗