本發明專利技術提供一種恢復移動終端已刪除sqlite文件的方法和裝置，本發明專利技術提供的方法預先設置若干種sqlite頁特征規則，當檢測到移動終端時，執行步驟：獲取當前移動終端的鏡像文件；解析當前移動終端的鏡像文件并設置搜索區域；根據搜索區域內的數據特征調用至少一種預先設置的sqlite頁特征規則，以sqlite頁特征規則作為匹配依據對搜索區域內的數據進行匹配，獲得當前移動終端上已刪除的sqlite文件頁碎片；最后對當前移動終端上已刪除的sqlite文件頁碎片內的數據進行解碼。本發明專利技術提供的方案可獲取移動終端上所有已刪除sqlite文件未被覆蓋的頁碎片內有效數據，恢復成功率及恢復完整性高。
【技術實現步驟摘要】
本專利技術涉及數據恢復
，尤其涉及一種恢復移動終端已刪除sqlite文件的方法及裝置。
技術介紹
電子數據恢復是指通過技術手段，將原保存在臺式機硬盤、筆記本硬盤、服務器硬盤、存儲磁帶庫、移動硬盤、數碼存儲卡等存儲介質上且已經丟失的電子數據進行搶救和恢復的技術。在于電子數據取證中，數據恢復的作用尤其重要。 目前，針對iOS移動智能終端，在電子數據取證過程中，經常碰到由于用戶刪除了設備上的QQ、飛信、微博等應用程序而導致取證時無法獲取用戶的聯系人、聊天記錄等信息的問題。這些數據大都存儲在sqlite文件中，iOS從文件系統恢復的文件數量有限。目前，對于一般的雖損壞但還能正常開機運行的移動終端，可以通過移動終端提供的通訊協議提取相關數據存儲文件，進而對已刪除文件進行數據恢復，但是這種方法只能恢復還保存在存儲文件中的數據，比如對于用戶使用常規方法執行的記錄刪除動作而言，這些已刪除的記錄只是被標記為刪除狀態，但實際上該記錄還保存在用于保存記錄的原文件里，因此通過移動終端提供的通訊協議提取相關數據存儲文件的這種恢復方法正確恢復數據的前提是用于保存記錄的原文件未被刪除。顯然，對于數據文件本身的應用程序已被卸載或目標文件已被其他輔助通訊工具刪除的情況，目標文件無法恢復。
技術實現思路
本專利技術提供一種恢復移動終端已刪除sqlite文件的方法及裝置，用于解決現有技術中無法恢復移動終端上已被卸載的應用程序的sqlite文件數據的問題，本專利技術提供的恢復已刪除sqlite文件的方法及裝置可獲取移動終端上所有已刪除sqlite文件未被覆蓋的頁碎片內有效數據，具有恢復成功率高及恢復完整性高的特點。本專利技術提供的一種恢復移動終端已刪除sqlite文件的方法，包括預先設置若干種sqlite頁特征規則，當檢測到移動終端時，執行以下步驟首先，獲取當前移動終端的鏡像文件；隨后，解析所述當前移動終端的鏡像文件，并設置搜索區域；接著根據所述搜索區域內的數據特征調用至少一種預先設置的sqlite頁特征規則，以所述sqlite頁特征規則作為匹配依據對所述搜索區域內的數據進行匹配，獲得當前移動終端上已刪除的sqlite文件頁碎片；最后，對當前移動終端上已刪除的sqlite文件頁碎片內的數據進行解碼，恢復當前移動終端已刪除的sqlite文件數據。優選地，上述方法中，所述解析當前移動終端的鏡像文件，并設置搜索區域，包括判斷是否能夠解析當前移動終端的鏡像文件？若是，則獲取當前移動終端的鏡像文件的未分配簇區域，并將所述當前移動終端的鏡像文件的未分配簇區域作為搜索區域；否則將當前移動終端的全鏡像文件作為搜索區域。優選地，上述方法中，在所述根據所述搜索區域內的數據特征調用至少一種預先設置的sqlite頁特征規則，以所述sqlite頁特征規則作為匹配依據對所述搜索區域內的數據進行匹配，獲得當前移動終端上已刪除的sqlite文件頁碎片之前，還包括步驟設置大小為sqlite頁大小的搜索塊。此時所述以sqlite頁特征規則作為匹配依據對所述搜索區域內的數據進行匹配，包括以所述搜索塊為單位將所述搜索區域分塊，分別以被調用的每個sqlite頁特征規則為匹配依據、按照預定搜索順序對搜索區域內的所有搜索塊內的數據進行匹配。優選地，上述方法中，對于被調用的每個sqlite頁特征規則，所述按照預定搜索順序對搜索區域內的所有搜索塊內的數據進行匹配包括步驟A :按照所述預定搜索順序掃描第一個搜索塊；步驟B :判斷當前搜索塊的頭部特征是否是當前被調用的sqlite頁特征規則所指定的 sqlite頁頭特征？若是，則執行步驟C ;否則執行步驟E ；步驟C :判斷當前搜索塊內的數據是否能和當前被調用的sqlite頁特征規則所指定的數據特征相匹配，如果輸出當前搜索塊內數據，并執行步驟D，否則執行步驟E ；步驟D :判斷搜索區域內的全部搜索塊是否都已按照所述預定搜索順序匹配完成？若是，則結束針對當前被調用的sqlite頁特征規則的數據匹配流程；否則，執行步驟E ;步驟E :按照所述預定搜索順序掃描下一個搜索塊，將所述下一個搜索塊作為當前搜索塊，并返回執行步驟B。優選地，上述方法中，所述對當前移動終端上已刪除的sqlite文件頁碎片內的數據進行解碼，恢復當前移動終端已刪除的sqlite文件數據，包括對所述當前移動終端已刪除的sqlite文件頁碎片內的有用信息進行解碼，并識別解碼后各有用信息之間的關聯關系，得到有效數據信息。其中，所述有用信息包括已刪除的sqlite文件頁碎片內的表、字段和記錄信息；所述有效數據信息包括已刪除的sqlite文件頁碎片內未被覆蓋的數據庫管理信息和數據庫數據。本專利技術實施例還提供一種恢復移動終端已刪除sqlite文件的裝置，包括鏡像獲取單元、鏡像解析單元、頁規則調用單元、第一頁規則匹配單元、第二頁規則匹配單元、…、 第N頁規則匹配單元和sqlite解析單元；所述N為大于等于2的正整數；所述第一頁規則匹配單元至第N頁規則匹配單元中的每個頁規則匹配單元內預先存儲有一種sqlite頁特征規則，且所述第一頁規則匹配單元至第N頁規則匹配單元中的任意兩個頁規則匹配單元中存儲的sqlite頁特征規則不同；所述鏡像獲取單元用于獲取當前移動終端的鏡像文件并將其提供給所述鏡像解析單元；所述鏡像解析單元用于解析所述當前移動終端的鏡像文件，設置搜索區域，并將所述當前移動終端的鏡像文件以及所設置的搜索區域提供給所述頁規則調用單元；所述頁規則調用單元用于根據所述搜索區域內的數據特征調用所述第一頁規則匹配單元至第N頁規則匹配單元中的至少一個頁規則匹配單元，并將所述搜索區域提供給被調用的各頁規則匹配單元；被所述頁規則調用單元調用的各頁規則匹配單元用于以自身所存儲的sqlite頁特征規則作為匹配依據對所述搜索區域內的數據進行匹配，獲得當前移動終端上已刪除的一種sqlite文件頁碎片并提供給所述sqlite解析單元；所述 sqlite解析單元用于對收到的所有當前移動終端上已刪除的sqlite文件頁碎片內的數據進行解碼，恢復當前移動終端已刪除的sqlite文件數據。優選地，當所述鏡像解析單元支持解析所述當前移動終端的鏡像文件時，所述鏡像解析單元獲取當前移動終端的鏡像文件的未分配簇區域，并將所述當前移動終端的鏡像文件的未分配簇區域設置為所述搜索區域；當所述鏡像解析單元不支持解析所述當前移動終端的鏡像文件時，所述鏡像解析單元將當前移動終端的全鏡像文件設置為所述搜索區域。優選地，所述鏡像解析單元還用于設置大小為當前移動終端的系統文件塊大小的搜索塊，并將所設置的搜索塊提供給所述頁規則調用單元；所述頁規則調用單元還用于將收到的所述搜索塊提供給被調用的各頁規則匹配單元；被所述頁規則調用單元調用的各頁規則匹配單元首先用于以所述搜索塊為單位將所述搜索區域分塊，然后分別以自身所存儲的sqlite頁特征規則為匹配依據、按照預定搜索順序對搜索區域內的所有搜索塊內的數據進行匹配。優選地,所述sqlite解析單元進一步用于對當前移動終端上已刪除的sqlite文件頁碎片內的有用信息進行解碼，得到有效數據信息；所述有用信息包括已刪除的sqlite文件頁碎片內的表、字段和記錄信息；所述有效數據信息包括已刪除的sqlite文件頁碎片內本文檔來自技高網...
【技術保護點】
一種恢復移動終端已刪除sqlite文件的方法，其特征在于，預先設置若干種sqlite頁特征規則，當檢測到移動終端時，執行以下步驟：獲取當前移動終端的鏡像文件；解析所述當前移動終端的鏡像文件，并設置搜索區域；根據所述搜索區域內的數據特征調用至少一種預先設置的sqlite頁特征規則，以所述sqlite頁特征規則作為匹配依據對所述搜索區域內的數據進行匹配，獲得當前移動終端上已刪除的sqlite文件頁碎片；對當前移動終端上已刪除的sqlite文件頁碎片內的數據進行解碼，恢復當前移動終端已刪除的sqlite文件數據。
【技術特征摘要】
【專利技術屬性】
技術研發人員：薛艷英，林藝濱，
申請(專利權)人：廈門市美亞柏科信息股份有限公司，
類型：發明
國別省市：
還沒有人留言評論。發表了對其他瀏覽者有用的留言會獲得科技券。