[发明专利]一种面向Android智能终端的内存镜像文件分析方法

说明书

本发明提出了一种面向Android智能终端的内存镜像文件分析方法，针对内存镜像文件中的分区信息进行分析，根据各分区表所描述的文件系统结构将Android智能终端的内存镜像还原成相应的文件系统，能够更容易地实现镜像文件的解析，同时，针对文件系统中已经删除但尚未被物理覆盖的数据进行恢复，根据文件系统日志域的结构，对日志事务进行解析，可以更加准确、全面、快捷地实现对部分已删除数据的恢复。

技术领域

本发明属于智能终端技术领域，特别是涉及一种面向Android智能终端的内存镜像文件分析方法。

背景技术

Android智能终端的内存包括易失性内存和非易失性内存，Android智能终端易失性内存主要为主存储器，是指手机运行程序时使用的内存，只能临时存储数据，用于与CPU交换高速缓存数据，不能用于长期存储数据。非易失性内存是存放系统文件，用户数据的大容量存储器，在设备断电重启后，数据不会丢失，例如闪存等。

Android智能终端内存镜像文件的获取通过数据提取技术实现，数据提取通常包括逻辑提取和物理提取。其中，逻辑提取主要在获取设备的Root权限后，通过工具转储Android智能终端的文件系统；物理提取则是通过对非易失性存储器进行逐位拷贝，以二进制的形式保存转储数据而获得其内存镜像文件。对Android智能终端通过物理提取的内存镜像文件为二进制数据，不易解析，若使用字符串匹配的方式，则导致效率过低并且遗漏大量重要信息。

发明内容

为了解决上述问题，本发明提出了一种面向Android智能终端的内存镜像文件分析方法。

本发明的技术目的是通过以下技术方案得以实现的：

一种面向Android智能终端的内存镜像文件分析方法，具体步骤为：

步骤1、获取Android智能终端非易失性存储器的分区格式信息；

步骤2、分析步骤1中获取的Android智能终端的非易失性内存分区格式信息，对Android智能终端内存镜像文件中的数据进行分区；

步骤3、分析Android智能终端内存分区的数据格式，确定分区的文件系统类型从而重构相应分区文件系统元数据、文件系统结构以及文件系统数据；

步骤4、分析步骤3中重构获得的文件系统元数据、文件系统结构以及文件系统数据，实现文件系统还原和已删除数据的恢复。

进一步地，所述步骤1具体包括：通过解析内存镜像文件，获取其第0-1扇区的数据进行分析，并据此确定Android智能终端非易失性存储器中分区格式信息。

进一步地，所述步骤2中的分区格式信息包括分区类型与分区数据，根据步骤1中所确定的Android智能终端各分区的分区格式信息，确定相应的分区表，根据分区表项的分区名称、分区类型和地址范围确定每个分区的地址空间和数据。

进一步地，所述步骤3中相应分区文件系统元数据、文件系统结构以及文件系统数据包括文件系统超级块、块组描述符表、inode节点表、块位图、文件系统日志域。

进一步地，所述步骤4中文件系统还原的具体步骤为：

步骤4-1、分析相应文件系统超级块、块组描述符表、inode节点表、块位图所包含的具体信息，所述具体信息包括块大小、块数量、inode节点大小、inode节点数量；

步骤4-2、计算根目录对应的inode节点的块组号及块内编号，找到根目录所对应的inode节点，并分析inode节点中的具体数据，以便通过inode节点中的具体数据获取详细文件数据，所述详细文件数据包括文件数据块的起始地址及大小，根据所述起始地址及大小索引至文件数据块，所述文件数据块中包含目录项；