[发明专利]一种恢复DM8数据库日志文件的方法

说明书

本发明公开了一种恢复DM8数据库日志文件的方法，其特征在于，包括以下步骤：S000：加载DM8数据库文件或DM8数据库镜像文件，读取首扇区数据；S100：查找下一DM8数据库的日志记录头的标识，如果查找到，则执行S200，否则，结束流程；S200：判断记录类型是否为logical，如果是，执行步骤S300，否则，执行步骤S100；S300：判断操作码是否为插入操作、删除操作、更新操作之任一，如果是，执行步骤S400，否则，执行步骤S100；S400：获取当前日志记录的字节长度；S500：获取当前日志的记录数据；S600：根据操作码，对插入操作、删除操作及更新操作，采用对应的日志记录格式进行数据提取；S700：是否完成数据库文件或数据库镜像文件的扫描，如果是，则结束流程，否则执行步骤S100。

技术领域

本发明属于电子取证和数据恢复领域，涉及一种恢复DM8数据库日志文件的方法。

背景技术

DM8数据库是数据库中的优秀产品。DM8数据库在很多的重要行业和部门使用，如电网、政府机关等等。在DM8数据库中，所有的用户操作都会写进日志文件，所以，日志文件对于电子取证和数据恢复是非常重要的一个方面。

现有的技术中，对DM8数据库日志文件的分析都是基于完整的日志文件及结构，且需依赖DM8数据库的环境进行处理。在日志文件被破坏或者被删除的情况下，现有技术中尚无恢复DM8数据库日志文件的方法。

发明内容

针对现有技术的不足，本发明提供了一种恢复DM8数据库日志文件的方法，通过解析logical类型的日志记录，可以提取用户有效的操作信息并恢复DM8数据库日志文件，从而为判断用户行为、鉴定数据结果提供有效佐证。本发明申请包括以下步骤：

S000：加载DM8数据库文件或DM8数据库镜像文件，读取首扇区数据，其中，扇区的字节长度为0x200；

S100：查找下一DM8数据库的日志记录头的标识，如果查找到，则执行S200，否则，结束流程；

S200：以所述标识的地址为起始地址，向前偏移44个字节并读取1字节的内容作为记录类型，判断记录类型是否为logical，如果是，执行步骤S300，否则，执行步骤S100；

S300：以所述标识的地址为起始地址，向前偏移38个字节并读取连续2字节的内容，作为操作码，判断操作码是否为插入操作、删除操作、更新操作之任一，如果是，执行步骤S400，否则，执行步骤S100；

S400：以所述标识的地址为起始地址，向前偏移42个字节并读取连续4个字节的内容，作为当前日志记录的字节长度；

S500：以所述标识的地址为起始地址，向前偏移44个字节并读取当前日志记录的字节长度+2个字节的内容，作为当前日志的记录数据；

S600：根据操作码，对插入操作，采用插入日志记录格式进行数据提取；对删除操作，采用删除日志记录格式进行数据提取；对更新操作，采用更新日志记录格式进行数据提取；

S700：判断是否完成DM8数据库文件或DM8数据库镜像文件的扫描，如果是，则结束流程，否则执行步骤S100。

优选地，所述步骤S100包括以下步骤：

S101：初次寻址当前扇区：以当前扇区的首字节地址为起始地址；

S102：读取连续4字节的内容并与日志记录头的标识进行比较，如果相等，执行步骤S200,否则执行步骤S103，其中，日志记录头的标识为flag，其值为0x0133EF57；

S103：当前地址＝当前地址+1，

S104：判断是否查找完当前扇区，如果是，执行步骤的执行步骤S105，否则执行步骤S102；