CN106648990B - 一种快速提取BlueSky文件系统监控设备中数据的方法 - Google Patents

Abstract

本发明公开了一种快速提取BlueSky文件系统监控设备中数据的方法，包括以下步骤：S1：加载磁盘数据；S2：检测磁盘数据是否符合；S3：解析磁盘结构；S4：解析正常数据记录；S5：解析非正常数据记录；S6：分类提取视频数据；S8：重组碎片数据。本发明的有益效果如下：可以提取BlueSky文件系统中的正常视频、删除视频和碎片视频，提取快速且完整，重组碎片数据；帮助企业恢复数据和公安机关侦破案件。

Description

一种快速提取BlueSky文件系统监控设备中数据的方法

技术领域

本发明涉及信息安全技术领域，特别涉及一种快速提取BlueSky文件系统监控设备中数据的方法。

背景技术

国内经济的蓬勃发展带动了不少行业的发展，安保行业正是受益于经济发展过程之中增长趋势最为明显的行业之一。尤其是在视频监控技术不断发展的今天，高清监控视频、多角度视频技术等专业的监控设备在各个行业多种场所都得到了有效地推广。视频监控设备在为实现安定和谐安全的社会环境上做出了巨大的贡献。监控探头所拍摄下来的视频显得尤其重要，为不少案件提供了最真实，最可靠的视频证据，成为了法院决断的依据。因此对监控设备的数据提取与恢复具有重大意义。

嵌入式系统是一种完全嵌入受控器件内部，为特定应用而设计的专用的操作系统，嵌入式系统监控机则是一个控制程序存储在只读存储器中的嵌入式处理器控制板，用于控制和监视摄像探头的装置。从整体性能上来看，嵌入式硬盘录像机表现出来了无比强大的优越性能，并且从目前的市场占有率上看，已经成为安防界的主流产品。

在发达国家，不少监控设备上面存储的数据都是经过多重备份以便确保其数据存储具备高度的安全性。然而，为了节省企业的开支以及降低管理上的难度，很多持有监控设备的单位并没有做过多的数据安全措施，这就意味着设备上存储的视频资料一旦丢失或出现其他故障，将使得安防功能无法起到相关的作用。

由于监控视频的存储是设备厂商自定义的存储格式，不同于任何一种传统意义上的文件系统，这导致传统的数据恢复技术无法应用到监控机的视频数据提取与恢复中。目前，在针对嵌入式监控机的删除后产生的碎片文件、覆盖后的残余文件无法恢复，而且在实际的使用过程中还会出现监控数据磁盘被初始化、格式化、误分区等操作，这样的更是加大的数据恢复的难度。

本发明的方法主要是针对蓝色星际网络监控机采用的BlueSky文件系统进行解析从而实现删除数据的快速提取与恢复，而且还能针对监控数据磁盘被初始化、格式化、误分区之后监控视频数据的恢复提取。

目前还没有针对BlueSky文件系统的网络监控机进行数据恢复取证的方法。

发明内容

本发明针对现有技术的缺陷，提供了一种快速提取BlueSky文件系统监控设备中数据的方法，能有效的解决上述现有技术存在的问题。

一种快速提取BlueSky文件系统监控设备中数据的方法，包括以下步骤：

S1：加载磁盘，读取磁盘数据信息，根据GPT结构解析磁盘的分区情况；

S2：根据下列标准判断S1中加载的磁盘数据是否符合蓝色星际网络监控数据格式：

标准1：磁盘分区1中，相对分区起始地址偏移0x08～0x17记录有“0x426C7565536B79204E56522D564D4653”字样标记；

标准2：磁盘共8个分区，且前7个分区大小固定，分别为1GB、1GB、1GB、1GB、1GB、2GB、2GB；

磁盘数据形态同时满足以上标准时则只需S3，不符合则结束；

S3：解析磁盘中GPT分区表结构，获取分区6、分区8的起始扇区、分区大小信息；

S4：根据S3中解析出分区6的信息，跳转到分区6中的1315953号扇区，从该扇区开始读取0x818byte作为1号管理项的内容，该管理项对应分区8中1号块的数据；再向下接着读取0x818byte作为2号管理项的内容，该管理项对应的分区8中2号块的数据；以此类推，遍历分区6中所有的管理项；

根据分区6中管理项与分区8数据区中块的映射关系，解析分区8中正常使用的全部页，并对已使用的页标记为正常数据；

S5：根据S3、S4解析的结果，解析分区8中的所有未使用的页，读取未使用页的数据，再解析每一个页中的可播放的视频帧，

依次读取分区8中未使用的页的数据，解析页中所有可播放帧的数据，并对解析的可播放帧数据状态标记为非正常数据；

S6：根据S4、S5解析的正常、非正常视频数据，在提取正常数据时，按照块数据通道编号、页的时间顺序依次提取全部数据，在提取每页数据时，需要将相对页末尾的偏移的0x20byte进行剔除；在提取非正常数据时，若页的第一帧就为可播放的帧，则可将该页的全部数据进行提取，也需要将相对页末尾的偏移的0x20byte进行剔除。

S7：将S6提取到的数据类型进行区分，将依据S4解析的结果提取的数据标记为正常数据，将依据S5中解析的数据标记为删除数据，当依据S5中解析的结果提取的数据仅为一帧时，将其数据状态标记为碎片数据，至此已将磁盘中包含的符合BlueSky文件系统的正常、删除、碎片数据全部提取完成。

S8：将提取出的数据按照帧的信息中的通道和视频数据的起始时间拼接，重组成完整的视频。

作为优选，S4中每一个管理项的结构相同，在相对管理项起始地址偏移0x0～0x03记录着该管理项对应的块所存储的视频数据的起始时间；

相对管理项起始地址偏移0x04～0x05记录着管理项的序号；

在相对管理项起始地址偏移0x08～0x0807中，每8byte对应该管理项对应的分区8中块的每一页。

与现有技术相比本发明的优点在于：可以提取BlueSky文件系统中的正常视频、删除视频和碎片视频，提取快速且完整，重组碎片数据；帮助企业恢复数据和公安机关侦破案件。

附图说明

图1为本发明的主流程图。

具体实施方式

为使本发明的目的：技术方案及优点更加清楚明白，以下举实施例，对本发明做进一步详细说明。

介绍BlueSky文件系统的存储结构，磁盘引导扇区位于磁盘0号扇区，磁盘采用GPT分区类型，磁盘被划分为8个分区，分区1的作用未知；分区2记录了监控的操作日志采用SQLite数据库，分区3为分区2的备份分区；分区4记录了每个通道的每个阶段开始录制的时间和结束录制的时间，分区5为分区4的备份分区；分区6位管理分区，主要用于管理数据区的视频，分区7位分区6的备份分区；分区8是监控的数据区，用于存放监控视频。

磁盘分区1-7不会随监控硬盘的大小而改变分区的大小，仅有数据区分区8会改变分区大小，并且分区的个数也不会改变。

分区6的1315953扇区开始存放着管理表，管理表中每个管理项大小为0x818byte，在每一个管理项的内部，相对管理项起始地址偏移0x0～0x03记录着该管理项对应的块所存储的视频数据的起始时间，相对管理项起始地址偏移0x04～0x05记录着管理项的序号，相对管理项起始地址偏移0x0800～0x0803记录着该管理项对应的块所存储的视频数据的结束时间，相对管理项起始地址偏移0x809记录着管理项对应的块所存储的视频数据的通道；

分区8位数据区，数据从8号扇区开始写入，数据区以256扇区为一页，256页为一块进行存储和管理数据，每一个块对应分区6的一个管理项，每一个页中存储着真实的视频流数据。通过解析块中的视频流数据发现数据具有固定的帧结构，在帧结构中包含了视频数据的通道、时间、帧长度等信息，依据此信息即可对删除的视频数据进行解析、提取，达到数据恢复的目的，该发明的技术手段完整的解析的磁盘中的所有数据，并且发明适用于磁盘被初始化、格式化、误分区等破坏磁盘原始结构的情况；

如图1所示，接下来详细介绍针对蓝色星际网络监控机采用的BlueSky文件系统的一种快速提取BlueSky文件系统监控设备中数据的方法的具体步骤：

S1：加载磁盘，读取磁盘数据信息，根据GPT结构解析磁盘的分区情况；

S2：根据下列标准判断S1中加载的磁盘数据是否符合蓝色星际网络监控数据格式：

标准1：磁盘分区1中，相对分区起始地址偏移0x08～0x17记录有0x426C7565536B79204E56522D564D4653(BlueSky NVR-VMFS)字样标记；

标准2：磁盘共8个分区，且前7个分区大小固定，分别为1GB、1GB、1GB、1GB、1GB、2GB、2GB；

磁盘数据形态同时满足以上标准时才符合蓝色星际网络监控数据格式，符合则只需S3，不符合则结束；

S3：解析磁盘中GPT分区表结构，获取分区6、分区8的起始扇区、分区大小信息；

S4：根据S3中解析出分区6的信息，跳转到分区6中的1315953号扇区，从该扇区开始读取0x818byte作为1号管理项的内容，该管理项对应分区8中1号块的数据(1号块起始于分区8中的8号扇区)；再向下接着读取0x818byte作为2号管理项的内容，该管理项对应的分区8中2号块的数据；以此类推，遍历分区6中所有的管理项。

具体地，每一个管理项的结构相同，在相对管理项起始地址偏移0x0～0x03记录着该管理项对应的块所存储的视频数据的起始时间；

相对管理项起始地址偏移0x04～0x05记录着管理项的序号；

在相对管理项起始地址偏移0x08～0x0807中，每8byte对应该管理项对应的分区8中块的每一页；

例如，相对管理项起始地址偏移0x08～0x0F记录的8byte对应块中的第1页，8byte中前4byte记录值为0时表示对应的数据页未使用，不为0时表示对应的数据页处于正常使用状态，且其值表示对应页的视频数据的起始时间，对管理项起始地址偏移0x10～0x18记录的8byte对应块中的第2页，该8byte意义与上相同，依次类推可读取该管理项对应块中页的使用情况。

根据分区6中管理项与分区8数据区中块的映射关系，解析分区8中正常使用的全部页，并对已使用的页标记为正常数据。

S5：根据S3、S4解析的结果，解析分区8中的所有未使用的页，读取未使用页的数据，再解析每一个页中的可播放的视频帧，具体地，基于BlueSky文件系统的监控数据中帧的结构为：

帧的特征头长度为0x1C，在帧的特征头内，相对帧的特征头起始偏移0x0～0x03为标记字节，固定为0xDB1F9DBF；

相对帧的特征头起始偏移0x05记录得值表示帧数据对应的通道号；

相对帧的特征头起始偏移0x08～0x0B记录的值表示帧数据的长度，该长度值是从帧的特征头之后进行计算的；

相对帧的特征头起始偏移0x10～0x13记录的值表示帧数据对的视频起始时间；

帧的数据位于帧的特征头之后，在相对帧的数据起始地址偏移0x0～0x6为帧的数据是否可播放的标记，当其值为0x000000016764时，标志该帧对应的数据是可播放的。

依次读取分区8中未使用的页的数据，解析页中所有可播放帧的数据，并对解析的可播放帧数据状态标记为非正常数据。

S6：根据S4、S5解析的正常、非正常视频数据，在提取正常数据时，按照块数据通道编号、页的时间顺序依次提取全部数据，在提取每页数据时，需要将相对页末尾的偏移的0x20byte进行剔除；在提取非正常数据时，若页的第一帧就为可播放的帧，则可将该页的全部数据进行提取，也需要将相对页末尾的偏移的0x20byte进行剔除。

S7：将S6提取到的数据类型进行区分，将依据S4解析的结果提取的数据标记为正常数据，将依据S5中解析的数据标记为删除数据，当依据S5中解析的结果提取的数据仅为一帧时，将其数据状态标记为碎片数据，至此已将磁盘中包含的符合BlueSky文件系统的正常、删除、碎片数据全部提取完成。

S8：将提取出的数据按照帧的信息中的通道和视频数据的起始时间拼接，重组成完整的视频。

本领域的普通技术人员将会意识到，这里所述的实施例是为了帮助读者理解本发明的实施方法，应被理解为本发明的保护范围并不局限于这样的特别陈述和实施例。本领域的普通技术人员可以根据本发明公开的这些技术启示做出各种不脱离本发明实质的其它各种具体变形和组合，这些变形和组合仍然在本发明的保护范围内。

Claims (2)

1.一种快速提取BlueSky文件系统监控设备中数据的方法，其特征在于包括以下步骤：

S1：加载磁盘，读取磁盘数据信息，根据GPT结构解析磁盘的分区情况；

S2：根据下列标准判断S1中加载的磁盘数据是否符合蓝色星际网络监控数据格式：

标准1：磁盘分区1中，相对分区起始地址偏移0x08～0x17记录有“0x426C7565536B79204E56522D564D4653”字样标记；

标准2：磁盘共8个分区，且前7个分区大小固定，分别为1GB、1GB、1GB、1GB、1GB、2GB、2GB；

磁盘数据形态同时满足以上标准时则只需S3，不符合则结束；

S3：解析磁盘中GPT分区表结构，获取分区6、分区8的起始扇区、分区大小信息；

S4：根据S3中解析出分区6的信息，跳转到分区6中的1315953号扇区，从该扇区开始读取0x818byte作为1号管理项的内容，该管理项对应分区8中1号块的数据；再向下接着读取0x818byte作为2号管理项的内容，该管理项对应的分区8中2号块的数据；以此类推，遍历分区6中所有的管理项；

根据分区6中管理项与分区8数据区中块的映射关系，解析分区8中正常使用的全部页，并对已使用的页标记为正常数据；

S5：根据S3、S4解析的结果，解析分区8中的所有未使用的页，读取未使用页的数据，再解析每一个页中的可播放的视频帧，

依次读取分区8中未使用的页的数据，解析页中所有可播放帧的数据，并对解析的可播放帧数据状态标记为非正常数据；

S6：根据S4、S5解析的正常、非正常视频数据，在提取正常数据时，按照块数据通道编号、页的时间顺序依次提取全部数据，在提取每页数据时，需要将相对页末尾的偏移的0x20byte进行剔除；在提取非正常数据时，若页的第一帧就为可播放的帧，则可将该页的全部数据进行提取，也需要将相对页末尾的偏移的0x20byte进行剔除；

S7：将S6提取到的数据类型进行区分，将依据S4解析的结果提取的数据标记为正常数据，将依据S5中解析的数据标记为删除数据，当依据S5中解析的结果提取的数据仅为一帧时，将其数据状态标记为碎片数据，至此已将磁盘中包含的符合BlueSky文件系统的正常、删除、碎片数据全部提取完成；

S8：将提取出的数据按照帧的信息中的通道和视频数据的起始时间拼接，重组成完整的视频。

2.根据权利要求1所述的一种快速提取BlueSky文件系统监控设备中数据的方法，其特征在于：S4中每一个管理项的结构相同，在相对管理项起始地址偏移0x0～0x03记录着该管理项对应的块所存储的视频数据的起始时间；

相对管理项起始地址偏移0x04～0x05记录着管理项的序号；

在相对管理项起始地址偏移0x08～0x0807中，每8byte对应该管理项对应的分区8中块的每一页。