计算机取证中的数据恢复技术研究

为解决计算机取证中的数据恢复问题，提出了一种基于新式技术文件系统(newtechnologyfilesystem，NTFS)的数据恢复方案。该方案通过剖析其主控文件表(masterfiletable，MFT)，MFT文件记录的结构，文件的3个属性（标准信息属性，文件名属性，数据流属性）以及文件在删除前后文件记录头部属性值的变化，详细阐述了数据恢复的原理和实现过程。实验结果表明，通过此方案设计的软件在搜索量，效率方面都有明显改善。