CN105183383A - 一种文件系统无关的镜像重组方法 - Google Patents

Abstract

本发明涉及信息安全与手机应用技术领域，具体涉及一种文件系统无关的镜像重组方法。获取镜像步骤：获取移动终端的物理镜像，并分析该物理镜像的物理结构，取头部标记步骤：取每个物理块的前N个字节作为该物理块头部的标记，确定标记步骤：读取这些头部标记所在的物理块数据，判断物理块是否为映射表，若是，则执行下一步骤，若否，则跳转至下一个物理块后，返回执行取头部标记步骤，确定分组类型和头部长度步骤：遍历该分组头部的所有映射信息，并根据标记取出逻辑块号，计算出物理地址，该物理地址=分组物理地址偏移+分组头部长度+映射长度*标记序号，跳到下一物理块地址，返回取头部标记步骤继续本流程，直至所有物理块地址均遍历。本发明重组效率高。

Description

一种文件系统无关的镜像重组方法

技术领域

本发明涉及信息安全与手机应用技术领域，具体涉及一种文件系统无关的镜像重组方法。

背景技术

参考图1所示，由于FLASH物理块的擦写寿命问题，为了均衡管理，在上面搭建的文件系统逻辑地址不是与FLASH物理块地址连续对应，而是建立了一种映射关系。在访问FLASH文件系统时，先要找出这种映射关系，即对文件系统重组，才能得到连续的逻辑地址。目前提出的重组方法主要针对已知文件系统的镜像，主流的应用有：NOR镜像上的FAT类文件系统重组，NAND镜像上的FAT类文件系统和YAFFS文件系统重组。

现有的重组技术，主要通过研究文件系统的特征数据获取重组需要的信息，比如FAT类的文件系统一般使用MBR或者DBR的末尾两字节标记数据——55AA，来初步定为0号逻辑块；yaffs类的一般使用OOB的特征分析逻辑块号的存储表示。这种方案不能处理未知文件系统的镜像重组。

发明内容

解决上述技术问题，本发明提供了一种文件系统无关的镜像重组方法，抛开文件系统的特征数据，直接分析镜像，在块的头部定位出有规律的特征标记，并分析所在分组的特征数据，进行推理、验证、排除，本发明可以应用于文件系统无关的镜像重组，不受限于具体平台。

为了达到上述目的，本发明所采用的技术方案是，一种文件系统无关的镜像重组方法，包括：

获取镜像步骤：获取移动终端的物理镜像，并分析该物理镜像的物理结构，

取头部标记步骤：遍历所有物理块，取每个物理块的前N个字节作为该物理块头部的标记，统计头部标记分别出现的次数，并按次数从大到小对物理块进行排序，

确定标记步骤：读取这些头部标记所在的物理块数据，比较头部标记的数据特征，判定该特征标记所在的物理块是否为映射表，若是，则执行下一步骤，若否，则跳转至下一个物理块后，返回执行取头部标记步骤，

确定分组类型和头部长度步骤：基于头部标记的特征数据，把标记所在的当前物理块或者连续的多个物理块作为一个整体，用来存储映射信息，同时把标记称为一个分组的头部，遍历该分组头部的所有映射信息，并根据标记取出逻辑块号，计算出物理地址，该物理地址=分组物理地址偏移+分组头部长度+映射长度*标记序号，

跳到下一物理块地址，下一物理快地址=分组物理块地址偏移+分组头部长度+映射长度*映射信息总数，返回取头部标记步骤继续本流程，直至所有物理块地址均遍历。

进一步的，确定分组类型和头部长度步骤还包括：

初步定位逻辑块号步骤：根据分组类型确定逻辑块号，

初步确定映射长度步骤：根据分组类型初步确定逻辑块号指向的物理块数，

映射长度和逻辑块号的综合验证步骤：

映射长度验证步骤：通过写入文件，比较文件和镜像内容对映射长度进行确认，

逻辑块号的验证步骤：通过文件的连续内容验证该逻辑块号的正确性，

完整性和冗余性分析算法：通过多个标记一起作为分组头部入口的判断来进行完整性分析；通过在遍历映射信息时，去掉标记其它标记所在的条目来进行冗余性分析，

精确性分析算法：通过剔除重组中出现重复的逻辑块号。

本发明通过采用上述技术方案，与现有技术相比，具有如下优点：

本发明的一种文件系统无关的镜像重组方案可以广泛应用于大部分的FLASH镜像取证中。该方案完善扩充了原来的重组方案，可以快速的寻找出镜像规律并使重组结果更加合理，为后续的文件系统解析做准备。将来也可以直接应用于不依赖于文件系统的FLASH镜像数据恢复，为取证领域提供了一种重要思路。

附图说明

图1是本发明的实施例的流程图。

图2是本发明的实施例的映射关系表。

图3是本发明的实施例的分组结构图。

图4是本发明的实施例的分组结构图。

图5是本发明的实施例的运用场景1的重组前文件系统图。

图6是本发明的实施例的运用场景1的重组后文件系统图。

图7是本发明的实施例的运用场景2的重组前文件系统图。

图8是本发明的实施例的运用场景2的重组后文件系统图。

具体实施方式

现结合附图和具体实施方式对本发明进一步说明。

作为一个具体的实施例，如图1所示，本发明的一种文件系统无关的镜像重组方法，包括以下步骤：

步骤1、获取镜像步骤：获取移动终端的物理镜像，并分析该物理镜像的物理结构。利用采集工具获取手机的物理镜像，分析物理结构。属于NOR类型还是NAND类型，NAND类型中属于“512+16”结构还是“2048+64”其它结构。

步骤2、取头部标记步骤：遍历所有物理块，取每个物理块的前N个字节作为该物理块头部的标记，统计头部标记分别出现的次数，并按次数从大到小对物理块进行排序。具体地，取特征标记：遍历所有物理块，取每个块的前4（8、12、16）个字节作为块头部的标记，统计分别出现的次数，并按次数从大到小排序。之后手工分析次数靠前的标记，排除一些无用标记，比如在四字节的标记中，像“FFFFFFFF”和“00000000”一般不能作为重组使用的特征标记。这里在取特征标记的时候，主要依赖两个准则：排序靠前；特征近似。这样可以提高提取的成功率。

步骤3、确定标记步骤：读取这些头部标记所在的物理块数据，比较头部标记的数据特征，判定该特征标记所在的物理块是否为映射表，若是，则执行下一步骤，若否，则执行步骤6：跳转至下一个物理块后，返回执行步骤2：取头部标记步骤。确定标记：读取这些特征标记所在的物理块数据，比较它们的数据特征，这些特征数据如果近似而且不是常见的文件特征类型，就可以认为这个特征标记所在的物理块可能为映射表。分析特征数据是否近似，本实施例有一定的方法用来指导经验观察和验证：按照一定的步进比较同个位置的数据特征，对其排序，排序后的数据如果比较均匀——出现较多的重复数据或者数值呈现某种计数规律。

这一步尤为关键，必须结合上一步的取标记，多次取出，比较特征。它决定下面的分析结果，如果失败就重新回到第2步。

最终确定的标记有两种类型：固定标记和近似标记。固定标记就是所有满足近似特征的物理块的头部标记只有一种；近似标记则是有多种标记满足条件。

步骤4、确定分组类型和头部长度步骤：基于头部标记的特征数据，把标记所在的当前物理块或者连续的多个物理块作为一个整体，用来存储映射信息，同时把标记称为一个分组的头部。遍历该分组头部的所有映射信息，并根据标记取出逻辑块号，计算出物理地址，该物理地址=分组物理地址偏移+分组头部长度+映射长度*标记序号N。

具体包括：

参考图2所示，基于头部特征标记的特征数据，它所在的当前物理块或者连续的多个物理块作为一个整体，用来存储映射信息，本实施例把它称为一个分组的头部。这个头部管理后面数据区域的重组映射表。

分组包括两种类型，参考图3所示，一种是特征标记在分组头部中只出现一次，把部分映射表或者整个映射表统一放在该分组头部中，如展讯NAND镜像是多分组，NOR镜像是单组。参考图4所示，另一种是特征标记作为“一条独立信息”的头部，这条信息记录了某个物理地址和逻辑地址的映射关系，这种情况一个分组头部一般包含了多条映射信息。

1、初步定位逻辑块号步骤：根据分组类型确定逻辑块号。初步定位逻辑块号：如果是第一种分组，NOR_FLASH类型的逻辑块号以相同格式分布在标记所在的物理块中，相同格式是指相同长度（如4字节）、相同标记（如C0)等；NAND_FLASH类型的逻辑块号则在每个物理块的OOB的相同位置中记录。第二种分组，取所有独立标记信息中不同固定位置的字段，对其排序，比较序号分布的范围和均匀情况，可以初步定位逻辑块号的表示。如在黑莓中，32字节的映射信息中，除了头部的固定4字节，后续的28字节可以按4个字节的长度分为7个字段分别提取排序比较（也可以按2个字节取字段，看具体情况），最终按偏移0x8-0xB处的字段排序后发现该字段分布范围最广而且最均匀（重复的字段最少），所以把它初步作为逻辑块号的存储位置。

2、初步确定映射长度步骤：根据分组类型初步确定逻辑块号指向的物理块数。初步确定映射长度：映射长度，即逻辑块号指向的物理块数，映射长度>=1。

对于两种分组类型，都可以统计出每个分组头部记录的映射条目个数（即逻辑块号个数）：对于第一种分组，NOR类型的本实施例可以根据映射记录的总长度/逻辑块号的长度得到；对于NAND类型本实施例可以统计OOB出现的不同的逻辑块号总数。而对于第二种分组，则直接计算固定标记出现的次数即可。

统计出映射条目个数N后，就是假设并验证映射长度。

数据区域的开始=分组的偏移+分组头部长度，设映射长度为L，则

数据区域的结束=数据区域的开始+物理块*N*L。

对于所有分组，如果数据区域的结束地址始终不大于下一个分组的开始地址，则假设成立。这里的难点在于分组可能出现不定长，一般本实施例可以从映射长度为1开始验证。

如黑莓，本实施例假设并初步验证得到了映射长度为1。数据区域的结束地址多次为下一个分组的起始地址，而有些则是空闲区域。

3、映射长度和逻辑块号的综合验证：

（1）映射长度验证步骤：通过写入文件，比较文件和镜像内容对映射长度进行确认，首先验证映射长度。在FLASH管理中，逻辑块是FLASH写入的最小单位，数据一定是连续的，如果映射长度为2，则对应两个物理块的数据必定是连续的。如黑莓，假设映射长度为1，只要验证2不成立就行，3更不可能成立：只要找到一个逻辑块映射的两个物理块出现不连续数据就行，方法就是通过写入文件，任意搜索文件内容在源镜像的位置，比较文件和镜像内容即可。

（2）逻辑块号的验证步骤：通过文件的连续内容验证该逻辑块号的正确性，验证逻辑块号的表示。假设这个未知的文件系统符合一般的写入规则：当存储空间足够时，为了提高效率，文件采用连续存储。这里同样可以利用文件的连续内容验证，如果多次出现这样的事实：在连续的逻辑块号对应的两个逻辑块中，出现了某个文件的连续内容或者连续内容中间穿插有规律的数据。一般就可以认为逻辑块号是对的。

这边有个容易忽略的地方：连续内容中间穿插有规律数据。文件系统一般把管理区和数据区完全分开，但不排除管理区穿插在数据区中，在每个文件的单元内容前面可能加上管理数据——多处出现的地方带有近似的结构。

这一步是对步骤5和步骤6两步的补充，使得结论更加合理。

4、重组的重点——完整性冗余性分析：完整性和冗余性分析算法：通过多个标记1—N一起作为分组头部入口的判断来进行完整性分析；通过在遍历映射信息时，去掉标记其它标记所在的条目来进行冗余性分析，

这里的关键是特征标记要分析全面，特别是有多个近似标记的。如在黑莓中，有“7ADA0202”、“7ADA0201”这两种标记。分析后，可以发现这两种标记所表示的信息有着一样的结构,但“7ADA0202”所表示的信息不是映射信息；而且以它们为头部的分组，同时包含了两种标记的映射条目。

完整性体现在多个标记1—N一起作为分组头部入口的判断；冗余性体现在遍历映射信息时，去掉了标记其它标记所在的条目。

5、重组的难点——精确性分析：通过剔除重组中出现重复的逻辑块号，完成精确性分析算法。

精确性的问题考虑在于重组中出现重复的逻辑块号，这个出现的原因是因为FLASH的旧数据未擦除掉。怎么区分新旧数据成了重组的难点。

步骤5：跳到下一物理块地址，下一物理快地址=分组物理块地址偏移+分组头部长度+映射长度*映射信息总数X，返回步骤2继续本流程，直至所有物理块地址均遍历。

同样逻辑块号所在的映射信息中，必定有一个信息用来标记两者的区别。对于第一类分组，分组中的所有逻辑块号统一管理，一般采用了分组计数作为统一管理。而对于第二类分组，逻辑块号所在的映射信息是独立的，一般每个映射信息条目都存储了计数。

比如黑莓，32字节的独立信息中，除了头部的固定4字节和逻辑块号所在的偏移0x8-0xB处，假设计数按4个字节存储，则其它的6个数值都可能为计数。本实施例假设“偏移0x4-0x7处为计数，计数大的存储新数据”，这里本实施例采用了排除法证明：通过多次写入文件，依次找出其它5个数值作为为计数的反例。

严格性证明是它的难点，同时严格性才能保证精确性。

下面通过两个具体运用场景来进一步说明本发明实施例的有益效果。

运用场景1：

这里本实施例以黑莓9700和展讯夏新M330的手机镜像重组为例。

（1）黑莓9700：

参考图5所示，重组前的黑莓手机镜像无法得到完整连续的黑莓文件系统，因而也无法获取里面的目录文件。

参考图6所示，使用本实施例的算法重组后，可以得到完整连续的黑莓文件系统，并经过黑莓文件系统解析得到相应的文件和信息。

（2）展讯夏新M330：

参考图7所示，重组前的夏新M330手机镜像也不是一个完整连续的文件系统，所以无法进行正常的文件系统解析，只显示一个未分区空间。

参考图8所示，使用本实施例的算法重组后，获得完整连续的FAT文件系统，并经过FAT文件系统解析得到相应的文件和信息。

尽管结合优选实施方案具体展示和介绍了本发明，但所属领域的技术人员应该明白，在不脱离所附权利要求书所限定的本发明的精神和范围内，在形式上和细节上可以对本发明做出各种变化，均为本发明的保护范围。

Claims (5)

1.一种文件系统无关的镜像重组方法，其特征在于：

获取镜像步骤：获取移动终端的物理镜像，并分析该物理镜像的物理结构，

取头部标记步骤：遍历所有物理块，取每个物理块的前N个字节作为该物理块头部的标记，统计头部标记分别出现的次数，并按次数从大到小对物理块进行排序，

确定标记步骤：读取这些头部标记所在的物理块数据，比较头部标记的数据特征，判定该特征标记所在的物理块是否为映射表，若是，则执行下一步骤，若否，则跳转至下一个物理块后，返回执行取头部标记步骤，

确定分组类型和头部长度步骤：基于头部标记的特征数据，把标记所在的当前物理块或者连续的多个物理块作为一个整体，用来存储映射信息，同时把标记称为一个分组的头部，遍历该分组头部的所有映射信息，并根据标记取出逻辑块号，计算出物理地址，该物理地址=分组物理地址偏移+分组头部长度+映射长度*标记序号，

跳到下一物理块地址，下一物理快地址=分组物理块地址偏移+分组头部长度+映射长度*映射信息总数，返回取头部标记步骤继续本流程，直至所有物理块地址均遍历。

2.根据权利要求1所述的一种文件系统无关的镜像重组方法，其特征在于：确定分组类型和头部长度步骤具体还包括：

初步定位逻辑块号步骤：根据分组类型确定逻辑块号，

初步确定映射长度步骤：根据分组类型初步确定逻辑块号指向的物理块数。

3.根据权利要求2所述的一种文件系统无关的镜像重组方法，其特征在于：还包括：映射长度和逻辑块号的综合验证步骤：

映射长度验证步骤：通过写入文件，比较文件和镜像内容对映射长度进行确认，

逻辑块号的验证步骤：通过文件的连续内容验证该逻辑块号的正确性。

4.根据权利要求3所述的一种文件系统无关的镜像重组方法，其特征在于：还包括：

完整性和冗余性分析算法：通过多个标记一起作为分组头部入口的判断来进行完整性分析；通过在遍历映射信息时，去掉标记其它标记所在的条目来进行冗余性分析。

5.根据权利要求4所述的一种文件系统无关的镜像重组方法，其特征在于：精确性分析算法：通过剔除重组中出现重复的逻辑块号。