CN106445736A - 一种提取并重组mtk62系列手机字库数据的方法 - Google Patents

Abstract

本发明公开了一种提取并重组MTK62系列手机字库数据的方法，包括以下步骤：S1：读取镜像文件；S2：判断字库特征；S3：获取字库中记录的数据区数据体的起始位；S4：获取字库中记录的数据区数据体大小；S5：提取数据区数据体；S6：分析数据体块的大小；S7：重组数据体。本发明的有益效果如下：能够根据MTK62系列的字库数据快速解析文件存储逻辑，找到数据区数据体并完成数据区数据的重组，填补了现有技术在MTK62系列设备中数据恢复的空缺。

Description

一种提取并重组MTK62系列手机字库数据的方法

技术领域

本发明涉及信息安全技术领域，特别涉及一种提取并重组MTK62系列手机字库数据的方法。

背景技术

MTK是联发科技股份有限公司的英文简称，英文全称叫MediaTek。MTK手机系统是现在市场上所有国内手机设计、制造商使用的最多的一个完整的手机产品解决方案。MTK手机，在低端手机市场中占有巨大份额。

手机与人们的日常生活息息相关，手机数据丢失往往能给个人，甚至企业单位带来无尽的烦恼与麻烦，企业数据丢失造成的损失是不可估量的，小则使公司无法开展工作，大则可能导致企业损失惨重而倒闭，特别是在信息化企业中，公司的电子资料就是他们的命脉，如能恢复这些资料将能拯救企业，让企业的损失降到最低；如在电子取证领域，这些数据也许就是案件的电子证据，如果检验人员能够获取更多手机中的数据，那么就更加有利于案件的早日侦破，也能够向法庭提供更多的可靠的证据；这对取证，特别是数据恢复工作提出了更高的要求。

但是目前还没有一种针对MTK62系列手机的数据恢复方法。

发明内容

本发明针对现有技术的缺陷，提供了一种提取并重组MTK62系列手机字库数据的方法，能有效的解决上述现有技术存在的问题。

一种提取并重组MTK62系列手机字库数据的方法，包括以下步骤：

S1：加载MTK62系列字库的镜像文件，读取镜像文件中的内容；

S2：判断的具体标准为在MTK62系列的字库中检索匹配字库的特征，标记为“0x4D544B5F524F4D494E464F5F”，若存在标记则符合字库结构，执行S3；若不存在则结束；

S3：获取字库中记录的数据区数据体的起始位；从字库特征向后跳转至0xDC处，读取字库数据区数据体起始地址的相对字库文件头部偏移字节数，该偏移字节数为0xDC至0xDF所记录的字节数；从字库特征“0x4D”向后偏移该字节数，为用户数据区数据体的起始位；

S4：获取字库中记录的数据区数据体大小；从字库特征向后跳转到“0xE0”处，读取字库中记录设备数据的数据区总字节数，“0xE0”至“0xE3”之间记录了数据区大小信息；

S5：根据S3和S4中得到的数据区起始位置和数据区大小，提取字库中记录的数据区数据体；

S6：根据读取的数据区数据体，分析其块的大小；扫描数据体中的管理区，在管理区中扫描所有管理项的后两个字节，若该两个字节为“0x00C0”则记录该管理项，扫描完所有管理项后，记录的管理项数等于管理区所占用的扇区数，相应块大小的计算公式为：块大小＝管理区所占用的扇区数*128；

S7：按照S6解析的块的管理区所占用的扇区数和块大小，遍历整个用户数据区域的内容，依据块的管理区中记录的对应扇区地址的LBA值重新组合用户数据区域的内容，并剔除管理区的内容。

与现有技术相比本发明的优点在于：能够根据MTK62系列的字库数据快速解析文件存储逻辑，找到数据区数据体并完成数据区数据的重组，填补了现有技术在MTK62系列设备中数据恢复的空缺。

附图说明

图1为本发明实施例中MTK6225系列的字库文件存储结构示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下举实施例，对本发明做进一步详细说明。

下面以MTK6225系列的字库文件为例进行详细阐述MTK62系列的字库数据的提取方法；在MTK6225系列的字库中，存储设备数据信息的区域存在于字库文件的特定位置，且存储数据信息的区域存储按照图1中的结构来进行存储的，存储数据的区域被划分成固定大小的块，每一块被分为数据管理区和数据区，每个数据区以512位字节大小为一个扇区，每个扇区都通过数据管理区关联到真实的逻辑分区的地址，通过数据管理区的内容可以将数据区重新快速的组合成逻辑分区结构，从而实现对MTK6225系列的字库进行解析。

提取并重组MTK6225系列手机字库数据的方法，包括以下步骤：

S1：加载MTK6225系列字库的镜像文件，读取镜像文件中的内容；

S2：判断S1中加载读取的内容是否为MTK系列字库的数据类型，判断的具体标准为在MTK6225系列的字库中检索匹配字库的头部特征，标记为“0x4D544B5F524F4D494E464F5F”(需要注意的是所有MTK62系列头部特征都为该特征)，若存在标记则符合字库结构；

S3：获取字库中记录的数据区数据体的起始位；从字库特征向后跳转至0xDC处，读取字库数据区数据体起始地址的相对字库文件头部偏移字节数，该偏移字节数为0xDC至0xDF所记录的字节数；从字库特征“0x4D”向后偏移该字节数，为用户数据区数据的起始位；

S4：获取字库中记录的数据区数据体大小；从字库特征向后跳转到“0xE0”处，，读取字库中记录设备数据的数据区总字节数，“0xE0”至“0xE3”之间记录了数据区大小信息；

S5：根据S3和S4中得到的数据区起始位置和数据区大小，提取字库中记录的数据区数据体；

S6：根据S5中读取的数据区数据体，分析其块的大小；目前常使用块的大小为128扇区、256扇区、384扇区、512扇区，其块的大小由块中的管理区所使用的扇区多少决定，块中管理区被分为多个管理项，每个管理项为4byte，其中管理项前两个字节表示该偏移地址对应的管理项的数据区扇区位于逻辑扇区的LBA值；管理项后两个字节表示该偏移地址对应的管理项的数据区扇区的状态，若值为0x00C0表示对应扇区是正常使用的，若值为0x0000表示对应扇区为非使用状态；根据管理区的结构特征判断管理区所占用的扇区数，相应块大小的计算公式为：块大小＝管理区所使用扇区数*128；

S7：按照S6解析的块的管理区所占用的扇区数和块大小，遍历整个用户数据区域的内容，依据块的管理区中记录的对应扇区地址的LBA值重新组合用户数据区域的内容，并剔除管理区的内容，完成重组。

本领域的普通技术人员将会意识到，这里所述的实施例是为了帮助读者理解本发明的实施方法，应被理解为本发明的保护范围并不局限于这样的特别陈述和实施例。本领域的普通技术人员可以根据本发明公开的这些技术启示做出各种不脱离本发明实质的其它各种具体变形和组合，这些变形和组合仍然在本发明的保护范围内。

Claims (1)

1.一种提取并重组MTK62系列手机字库数据的方法，其特征在于包括以下步骤：

S1：加载MTK62系列字库的镜像文件，读取镜像文件中的内容；

S2：判断的具体标准为在MTK62系列的字库中检索匹配字库的特征，标记为“0x4D544B5F524F4D494E464F5F”，若存在标记则符合字库结构，执行S3；若不存在则结束；

S3：获取字库中记录的数据区数据体的起始位；从字库特征向后跳转至0xDC处，读取字库数据区数据体起始地址的相对字库文件头部偏移字节数，该偏移字节数为0xDC至0xDF所记录的字节数；从字库特征“0x4D”向后偏移该字节数，为用户数据区数据体的起始位；

S4：获取字库中记录的数据区数据体大小；从字库特征向后跳转到“0xE0”处，读取字库中记录设备数据的数据区总字节数，“0xE0”至“0xE3”之间记录了数据区大小信息；

S5：根据S3和S4中得到的数据区起始位置和数据区大小，提取字库中记录的数据区数据体；

S6：根据读取的数据区数据体，分析其块的大小；扫描数据体中的管理区，在管理区中扫描所有管理项的后两个字节，若该两个字节为“0x00C0”则记录该管理项，扫描完所有管理项后，记录的管理项数等于管理区所占用的扇区数，相应块大小的计算公式为：块大小＝管理区所占用的扇区数*128；

S7：按照S6解析的块的管理区所占用的扇区数和块大小，遍历整个用户数据区域的内容，依据块的管理区中记录的对应扇区地址的LBA值重新组合用户数据区域的内容，并剔除管理区的内容。