基于Hash的YAFFS2文件各版本恢复算法研究

doi:10.3969/j.issn.1671-1122.2016.05.008

信息网络安全 ›› 2016, Vol. 16 ›› Issue (5): 51-57.doi: 10.3969/j.issn.1671-1122.2016.05.008

基于Hash的YAFFS2文件各版本恢复算法研究

李亚萌(), 何泾沙

北京工业大学软件学院,北京 100124

收稿日期:2016-04-01 出版日期:2016-05-20 发布日期:2020-05-13
作者简介:
李亚萌（1992—）,女,天津,硕士研究生,主要研究方向为智能终端取证;何泾沙（1961—）,男,陕西,教授,博士,主要研究方向为网络安全、测试与分析和云计算。
基金资助:
国家高技术研究发展计划（国家863计划） [2015AA017204]

Research on Different Versions of YAFFS2 File Recovery Algorithm Based on Hash

Yameng LI(), Jingsha HE

School of Software Engineering, Beijing University of Technology, Beijing 100124, China

Received:2016-04-01 Online:2016-05-20 Published:2020-05-13

摘要/Abstract

摘要：

Android取证过程中,包含了数据提取、数据恢复等方向,其中数据恢复是Android取证研究中非常重要的一个环节,只有更好、更多地恢复终端中的数据,特别是一些被修改或者删除的数据,才能更好地开展对后续数据的分析和研究。YAFFS2文件系统是一种新型的快速闪存文件系统,该文件系统被设计用在使用NAND闪存技术的移动终端中,也是目前广泛应用于Android移动终端中的新型文件系统。文章选择YAFFS2文件系统作为研究对象,提出了一种基于Hash的YAFFS2文件各版本恢复算法。首先通过反向扫描获得该文件系统中的数据信息;然后将具有相同对象头信息的数据提取,并将其中的信息存入Hash链表中;最后重构文件以实现对多个版本的文件恢复。文章通过在Linux系统下搭建YAFFS2文件系统环境,并进行实验,证明了该算法可有效地对各类型数据文件进行恢复,特别是可恢复SQLite3数据库文件,并且可恢复各类型文件的多个版本,实现并达到了设计算法的预期目标,也为后续对Android取证中其他方面的研究打下了一定的基础。

关键词: 数字取证, 文件恢复, Android系统, YAFFS2, Hash

Abstract:

In digital forensic, the technology of Android forensic becomes hot spot of research currently. And there are some research interests such as data extraction, data recovery for Android forensic. Among these research interests, data recovery is one of the most important step. YAFFS2 is a new flash file system. It is designed for mobile devices which use NAND flash and is widely used in Android devices. Thus, this paper proposes a method that recover different versions of YAFFS2 file based on Hash. Through extracting and storing the same object header information into Hash linked list, it can recover different versions of file. The experiment is executed under Linux system with YAFFS2 file system environment. And the experiment results show that the method can recover different types of file especially SQLite3 file and recover different versions of different types of file effectively. And this method lays the foundation for the follow-up research of Android forensic.

Key words: digital forensics, file recovery, Android, YAFFS2, Hash

中图分类号:

TP309

李亚萌, 何泾沙. 基于Hash的YAFFS2文件各版本恢复算法研究[J]. 信息网络安全, 2016, 16(5): 51-57.

Yameng LI, Jingsha HE. Research on Different Versions of YAFFS2 File Recovery Algorithm Based on Hash[J]. Netinfo Security, 2016, 16(5): 51-57.

图/表 11

图1

表1

表2

表3

图2

图3

图4

图5

图6

图7

表4

参考文献 15

[1]	The Statistics Portal. Market Share Worldwide Smartphone Shipments by Operating System from 2014 to 2020[EB/OL]..
[2]	VENEMA W.File Recovery Techniques Wietse Investigates the Topic of File Recovery by Reconstructing Past Behavior and Examining Deleted File Access Time Patterns and other Attributes[J]. DOCTOR DOBBS JOURNAL, 2000, 25(12): 74-81.
[3]	ZHANG N, WANG J.Research of File Recovery in Windows FAT32[C]//IEEE, 2015 International Conference on Intelligent Systems Research and Mechatronics Engineering, April 11-13, 2015, Zhengzhou, China. Pairs: Atlantis Press, 2015:33-36.
[4]	BURGHARDT A, FELDMAN A J.Using the HFS+ Journal for Deleted File Recovery[J]. Digital Investigation, 2008 (5): S76-S82.
[5]	LUCK J, STOKES M.An Integrated Approach to Recovering Deleted Files from NAND Flash Data[J]. Small Scale Digital Device Forensics Journal, 2008, 2(1):1-13.
[6]	LEE S, SHON T.Improved Deleted File Recovery Technique for Ext2/3 File System[J]. The Journal of Supercomputing, 2014, 70(1): 20-30.
[7]	LI Q, HU X, WU H.Database Management Strategy and Recovery Methods of Android[C]//IEEE. 2014 5th IEEE International Conference on Software Engineering and Service Science (ICSESS), June 27-29, 2014, Beijing, China.New York: IEEE, 2014: 727-730.
[8]	MANNING C. How YAFFS Works [EB/OL]. .
[9]	YANG X, XU M, ZHANG H. File Recovering from YAFFS2 Based on Object Headers and Metadata[C]// Proceedings of 4th International Conference on Graphic and Image Processing , October 5, 2012, Singapore.Bellingham: International Society for Optics and Photonics, 2013:876806-876806-8.
[10]	武贝贝. 面向NAND闪存的SQLite数据恢复技术研究与应用[D].杭州:杭州电子科技大学,2012.
[11]	王随刚,吴莎莎,李昂.智能手机取证技术研究——基于SQLite3的Android手机数据恢复技术的研究[J].警察技术,2012 (5):4-7.
[12]	方冬蓉,张秋余,董瑞洪,等. Android 系统删除数据恢复方法研究[J].计算机工程,2014,40(10):275-280.
[13]	ZIMMERMANN C, SPREITZENBARTH M, SCHMITTS, et al. Forensic Analysis of YAFFS2[J]. Sicherheit. 2012 (3) : 59-69.
[14]	POTTER I, ARENDS P, MOORREES S. YAFFS2 Object Headers [EB/OL]..
[15]	HOOG A 著. Android取证实战调查、分析与移动安全[M].何泾沙,等译.北京:机械工业出版社, 2013.

基于Hash的YAFFS2文件各版本恢复算法研究

Research on Different Versions of YAFFS2 File Recovery Algorithm Based on Hash

RichHTML

PDF (PC)

可视化

摘要/Abstract

引用本文

使用本文

图/表 11

参考文献 15

相关文章 15

编辑推荐

Metrics

本文评价

[1]	张磊, 王斌, 于莉莉. 基于Hash函数的属性泛化隐私保护方案[J]. 信息网络安全, 2018, 18(3): 14-25.
[2]	巫光福, 曾宪文, 刘娟, 吕逸杰. 基于纠错码的Hash函数的设计与分析[J]. 信息网络安全, 2018, 18(1): 67-72.
[3]	陆德冰, 崔浩亮, 张文, 牛少彰. 基于Intent过滤的应用安全加固方案[J]. 信息网络安全, 2017, 17(11): 67-73.
[4]	曲乐炜, 罗森林, 孙志鹏, 朱帅. Android系统数据完整性检测方法研究[J]. 信息网络安全, 2016, 16(8): 61-67.
[5]	杨静雅, 罗森林, 朱帅, 曲乐炜. 基于多层次交叉视图分析的Android系统恶意行为监控方法研究[J]. 信息网络安全, 2016, 16(7): 40-46.
[6]	李震, 何泾沙. 基于用户体验的模糊密码算法研究[J]. 信息网络安全, 2016, 16(11): 73-78.
[7]	李汶洋. Android操作系统恶意软件检测技术研究[J]. 信息网络安全, 2015, 15(9): 62-65.
[8]	陈福臻, 程久军, 廖竞学, 邵剑雨. 基于网络编码的同态HASH抗污染攻击系统研究[J]. 信息网络安全, 2015, 15(6): 33-40.
[9]	叶嘉羲, 张权, 王剑. 基于权限控制和脚本检测的Webview漏洞防护方案研究[J]. 信息网络安全, 2015, 15(3): 38-43.
[10]	辛晓杰,辛阳,姬硕. 基于特征匹配的Web应用防火墙的研究与设计[J]. 信息网络安全, 2015, 15(11): 53-59.
[11]	黄可臻，李宇翔，林柏钢. 基于Android的隐私数据安全保护系统[J]. 信息网络安全, 2014, 14(9): 54-57.
[12]	. 移动终端数据泄露动态监控系统[J]. , 2014, 14(5): 68-.
[13]	李平;湛家伟;任伟. Android环境下基于分形混沌的语音隐蔽通信系统的实现[J]. , 2013, 13(9): 0-0.
[14]	林佳华;任伟;贾磊雷. Android手机隐私保护系统的设计与实现[J]. , 2013, 13(7): 0-0.
[15]	关欣;朱冰;陈震;彭雪海. 基于特征码病毒扫描技术的研究[J]. , 2013, 13(4): 0-0.