[发明专利]一种面向Android智能终端的内存镜像文件分析方法

权利要求书

1.一种面向Android智能终端的内存镜像文件分析方法，其特征在于，包括以下步骤：

步骤1、获取Android智能终端非易失性存储器的分区格式信息；

步骤2、分析步骤1中获取的Android智能终端的非易失性内存分区格式信息，对Android智能终端内存镜像文件中的数据进行分区；

步骤3、分析Android智能终端内存分区的数据格式，确定分区的文件系统类型从而重构相应分区文件系统元数据、文件系统结构以及文件系统数据；

步骤4、分析步骤3中重构获得的文件系统元数据、文件系统结构以及文件系统数据，实现文件系统还原和已删除数据的恢复。

2.根据权利要求1中所述的面向Android智能终端的内存镜像文件分析方法，其特征在于，所述步骤1具体包括：通过解析内存镜像文件，获取其第0-1扇区的数据进行分析，并据此确定Android智能终端非易失性存储器中分区格式信息。

3.根据权利要求2中所述的面向Android智能终端的内存镜像文件分析方法，其特征在于，所述步骤2中的分区格式信息包括分区类型与分区数据，根据步骤1中所确定的Android智能终端各分区的分区格式信息，确定相应的分区表，根据分区表项的分区名称、分区类型和地址范围确定每个分区的地址空间和数据。

4.根据权利要求3中所述的面向Android智能终端的内存镜像文件分析方法，其特征在于，所述步骤3中相应分区文件系统元数据、文件系统结构以及文件系统数据包括文件系统超级块、块组描述符表、inode节点表、块位图、文件系统日志域。

5.根据权利要求4中所述的面向Android智能终端的内存镜像文件分析方法，其特征在于，所述步骤4中文件系统还原的具体步骤为：

步骤4-1、分析相应文件系统超级块、块组描述符表、inode节点表、块位图所包含的具体信息，所述具体信息包括块大小、块数量、inode节点大小、inode节点数量；

步骤4-2、计算根目录对应的inode节点的块组号及块内编号，找到根目录所对应的inode节点，并分析inode节点中的具体数据，以便通过inode节点中的具体数据获取详细文件数据，所述详细文件数据包括文件数据块的起始地址及大小，根据所述起始地址及大小索引至文件数据块，所述文件数据块中包含目录项；

步骤4-3、分析所述文件数据块中的各目录项获得相应的inode节点编号，并根据目录项中的文件类型判别是目录还是文件，若是文件，则提取上述inode节点对应数据块中的数据，并建立相应文件保存至根目录下，若是目录，则返回步骤4-2采用递归的方式逐级还原子目录，直至将各目录项分析完成从而实现文件系统还原。

6.根据权利要求书5中所述的面向Android智能终端的内存镜像文件分析方法，其特征在于，所述步骤4中已删除数据的恢复具体步骤为：

步骤4-4、分析步骤3中获得的文件系统日志域所包含的数据块类型，所述文件系统日志域所包含的数据块类型包括：描述块、元数据块、提交块；

步骤4-5、对日志域进行解析，分析日志域中每个数据块是否满足日志事务的格式条件，所述格式条件为：数据块类型按照描述块、元数据块、提交块的顺序排列，若满足所述格式条件，则将日志事务加入日志集合，若不满足所述格式条件，则不加入日志集合，直至日志域解析完成，将日志集合采用时间线逆序的方式进行排列；

步骤4-6、根据步骤4-5中得到的日志集合，在日志集合中找到删除数据的inode编号及前一个时间段未被删除时该数据的inode节点，将该inode节点索引至对应数据块；

步骤4-7、根据步骤4-6中inode节点索引的数据块获取对应的块位图，判断块位图中是否显示为空闲状态，若是，则将该数据块提取保存，若不是，则数据无法恢复。