基于FAT32文件系统的一种计算机取证方法

摘要

为解决计算机取证中关于Word文档的数据恢复的问题,提出了一种基于Windows FAT32文件系统的一种计算机取证方法的数据恢复算法.算法通过分析FAT32文件系统的结构,介绍了FAT32文件系统在磁盘上的结构,分析了FAT32下文件系统的核心--主引导记录MBR(Main Boot Record)区、DOS引导记录DBR(Dos Boot Record)区、文件分配表FAT(File Allocation Table)区、文件目录表FDT(File Directory Table)区、用户数据区的几个关键属性.详细阐述了Word文档数据恢复的算法和具体实现.结果表明,该算法能重新组织和恢复被删除的Word文档数据,为计算机取证提供了一种解决途径.