基于FAT32文件系统的一种计算机取证方法  

A COMPUTER FORENSICS METHOD BASED ON FAT32 FILE SYSTEM

作　　者：郭博[1] 莫有权[1] 李庆荣[1] 李祥和[1] 

机构地区：[1]信息工程大学信息工程学院,河南郑州450002

出　　处：《计算机应用与软件》2010年第6期260-262,共3页Computer Applications and Software

摘　　要：为解决计算机取证中关于Word文档的数据恢复的问题,提出了一种基于Windows FAT32文件系统的一种计算机取证方法的数据恢复算法。算法通过分析FAT32文件系统的结构,介绍了FAT32文件系统在磁盘上的结构,分析了FAT32下文件系统的核心——主引导记录MBR(Main Boot Record)区、DOS引导记录DBR(Dos Boot Record)区、文件分配表FAT(File Allocation Table)区、文件目录表FDT(File Directory Table)区、用户数据区的几个关键属性。详细阐述了Word文档数据恢复的算法和具体实现。结果表明,该算法能重新组织和恢复被删除的Word文档数据,为计算机取证提供了一种解决途径。In order to solve the problem of the Microsoft Word document data recovery in computer forensics,a data recovery algorithm of a computer forensics method is proposed based on Windows FAT32 file system.Through analysing the structure of FAT32 file system,the algorithm introduces the structure of FAT32 file system on the disk,analyses the cores in FAT32 file system——a couple of key attribute values of Master Boot Record（MBR）,DOS Boot Record（DBR）,File Allocation Table（FAT）,File Directory Table（FDT） and user＇s data area.The algorithm and concrete implementation of Microsoft Word document data recovery is expounded.Result shows that this algorithm can reconstruct and recover the data of deleted Microsoft Word document and provides a solving way for computer forensics.

关 键 词：计算机取证 FAT32文件系统 数据恢复 WORD文档 

分 类 号：TP316.7[自动化与计算机技术—计算机软件与理论]