基于Windows 7“系统还原”功能的电子数据取证方法  

作　　者：罗文华[1] 李子川[1] 

机构地区：[1]中国刑事警察学院

出　　处：《警察技术》2016年第2期50-52,共3页Police Technology

摘　　要：传统电子数据取证技术难以还原数据文件中被修改过内容的本来面目。Windows操作系统中内置的"系统还原"功能则提供了揭示文件背后所隐藏秘密的新途径。相较Windows XP,Windows 7"系统还原"功能更为全面深入,并采用了全新的文件结构。基于电子数据取证视角,说明Windows 7"系统还原"功能,着重分析该功能所涉及的具体文件(夹)的结构格式,结合实例阐述其在电子数据取证实践中的具体应用。

关 键 词：Windows 7 电子数据取证 系统还原 System Volume Information 还原点 

分 类 号：D918.2[政治法律—法学]