[发明专利]复印机离线数据提取解析方法及装置

权利要求书

1.一种复印机离线数据提取解析方法，其特征在于，

A)读取设备固件代码，并通过逆向分析获取设备目标文件，该目标文件包含工作数据的存储规律；

B)分析并提取设备文件格式，获取设备中用户操作系统；

C)结合文件格式及存储规律，获取设备存储数据的编码信息，并提取设备中有参考价值的离线数据；

B)获取设备中用户操作信息，包含通过提取出的设备目标文件识别设备运行操作系统类型；

识别设备运行操作系统类型，包含固件模块剥离解析，操作系统类型识别及内核版本识别，其中，固件模块剥离解析中，读取设备目标文件的二进制固件映像，结合模块特征数据库进行地址范围划分，将不同模块映像进行转存；操作系统类型识别中，对操作系统类型识别特征进行抽取，结合类型识别特征库进行筛选，排除不符合筛选特征的操作系统，依据筛选出的操作系统与固件模块待识别操作系统之间的相似度排序结果，获取操作系统类型识别结果；内核版本识别中，利用静态库函数的函数匹配，将待识别内核与标准内核的函数进行匹配，利用函数匹配数量计算两者之间相似度来识别内核版本。

2.根据权利要求1所述的复印机离线数据提取解析方法，其特征在于，A)读取设备固件代码中，首先识别设备存储部件，并通过逆向分析设备固件代码的组成结构及逻辑功能，获取包含设备存储信息存储规律的目标文件，所述存储规律至少包含固件代码编码方式。

3.根据权利要求1或2所述的复印机离线数据提取解析方法，其特征在于，A)中，利用反汇编工具对设备存储部件进行反汇编和/或反编译，得到其反汇编和/或反编译代码，获取设备目标文件，该目标文件还包含扫描、复印及打印三个工作状态下的存储协议、通信协议及控制命令。

4.根据权利要求2所述的复印机离线数据提取解析方法，其特征在于，针对设备存储部件，通过编程器读取存储固件代码的闪存芯片，获取闪存芯片中二进制文件；通过分析二进制文件及二进制文件所使用的嵌入式系统，得到该二进制文件的文件系统；使用反汇编工具将二进制文件机器代码转换为可读的目标代码，对目标代码进行分析，提取出该目标代码存储规律，该目标代码存储规律包含目标代码逻辑功能结构。

5.根据权利要求1所述的复印机离线数据提取解析方法，其特征在于，将不同模块映像进行转存中，针对压缩文件，采用解压缩软件进行最大程度还原；针对文件系统映像，根据文件系统存储机制对文件系统内部数据进行解析释放。

6.根据权利要求1所述的复印机离线数据提取解析方法，其特征在于，利用静态库函数的函数匹配，首先加载内核函数库签名，对内核函数使用FLIRT函数匹配方法进行首轮匹配；然后，对未匹配成功的函数，通过结构化匹配方法进行函数结构化匹配；最终，对匹配成功的所有函数进行收集，计算待识别内核与标准内核之间的相似度，选出静态库函数中与待识别内核相似度最高的内核作为识别结果。

7.根据权利要求1所述的复印机离线数据提取解析方法，其特征在于，C)中，根据文件格式解析出设备存储体中所有可析出文件，恢复设备存储体中有参考价值数据，该有参考价值数据类型包含图片类型、设备用户日志和设备工作日志。

8.一种复印机离线数据提取解析装置，其特征在于，基于权利要求1所述的复印机离线数据提取解析方法实现，包含：分析模块、获取模块和提取模块，其中，

分析模块，用于读取设备固件代码，并通过逆向分析获取设备目标文件，该目标文件包含工作数据的存储规律；

获取模块，用于分析并提取设备文件格式，获取设备中用户操作系统；

提取模块，用于结合文件格式及存储规律，获取设备存储数据的编码信息，并提取设备中有参考价值的离线数据。