计算机取证的相关案例,计算机取证案例分析

——高位清零后的文件提取

张广辉  于海波

一、引言

在一起受贿案件的侦查中，行贿人交代一份详细记录行贿对象、行贿时间、行贿金额的word文档被其以Shifit+Delete的方式删除，由于行贿的对象和次数较多，行贿人无法回忆出详细的行贿情况，因而对这份电子证据的提取和固定就显得尤为重要。幸运的是行贿人还能回忆出的文件名、存储位置等相关信息。对行贿人的电脑硬盘进行克隆并校验哈希值，对镜像进行分析后发现存储该文档的分区格式是FAT32，根据行贿人提供的情况通过取证软件很快定位到该文件的目录项，但是根据目录项提取出来的文档无法打开，对提取出来的文档用winhex分析发现其根本不是复合文档结构[1]，是行贿人说谎了吗？答案肯定不会那么简单。

二、高位清零产生的原因以及影响

FAT32文件系统是以簇为单位对数据进行存取，以目录的方式对数据进行管理，通过FAT表对数据所占用的簇进行追踪。在FAT32文件系统中，如果文件以Shift+Delete的方式删除，那么其所对应的短文件目录项的首字节会变成“E5”，用于记录该文件存储的首簇位置的高位数值被清零，其他像低位数值、文件大小、创建、修改时间等信息仍然留在短文件名目录项中。而根据文件目录项直接提取文件能够成功必须同时满足三个条件，就是文件没有被覆盖、文件没有碎片以及该文件目录项中首簇高位数值没有被清理，如果出现上面三种现象之一，那么提取出来的文件很可能不能正常打开或者不是我们想要的数据，所以本文要解决的高位清零问题是在文件没有碎片或者被覆盖的前提下进行的。

由于记录文件首簇位置的高位数值被清零，所以在数据恢复时就无法准确定位文件在磁盘中的存储位置。手工数据恢复的常规思路以及众多数据恢复软件的工作原理就是根据被删除的文件目录项中残留的文件首簇位置定位到