一、引言 现代社会，手机已经成为人们日常生活中不可或缺的设备，尤其是配备了高智能操作系统的手机越来越受到人们的青睐。智能手机可以像个人电脑一样支持用户自行安装软件、游戏等第三方服务商提供的软件和程序，功能越来越强大。但与此同时，利用智能手机进行的犯罪活动也越来越多，面对这种现状，智能手机取证成为打击这类犯罪的重要手段。本文旨在对Android智能手机的逻辑取证方法进行研究和探讨，在简述Android手机的最高权限的获取后，重点详细描述逻辑取证的具体操作步骤。 二、逻辑分析与物理分析 逻辑分析是在当前文件目录下寻找相…
数据恢复过程中最怕被误操作而造成二次破坏，造成恢复难度陡增。数据恢复过程中，禁止往源盘里面写入新数据的。 不要做DskChk磁盘检查。一般文件系统出现错误后，系统开机进入启动画面时会自动提示是否需要做磁盘检查，默认10秒后开始进行DskChk磁盘检查操作，这个操作有时候可以修复一些小损坏的目录文件，但是很多时候会破坏了数据。因为复杂的目录结构它是无法修复的。修复失败后，在根目录下会形成FOUND.000这样的目录，里面有大量的以.CHK为扩展名的文件。有时候这些文件改个名字就可以恢复，有时候则完蛋了，特别是FAT3…
相信很多朋友在认真看完数据恢复书籍中，关于NTFS文件系统中讲述的一系列属性以后，或多或少还是有些范迷糊。确实，NTFS文件系统结构比较复杂，且书中也没有讲到如何利用这些属性来定位文件，这对于初学者来说,无疑是一个缺憾. 现在就以一个叫“MFT结构分析”的图片文件来进行手工定位，其存储路径为E:\教程\数据恢复。 接下来我们一层一层的去定位文件.以对所学的属性做一个融会贯通.或许有的朋友会说:在实际操作中,可以通过在MFT中搜索文件名的方式来做出定位,这样也是可以的。我制作本分析过程的初衷也…
Windows磁盘管理器中，在磁盘标签处右击鼠标，随磁盘属性的不同会出现“转换到动态磁盘”，“转换到基本磁盘”“转换成GPT磁盘”，“转换成MBR磁盘”等选项。本文就此做简单介绍。部分资料参照网络上的资源。 基本磁盘与动态磁盘 磁盘的使用方式可以分为两类：一类是“基本磁盘”。基本磁盘非常常见，我们平时使用的磁盘类型基本上都是“基本磁盘”。“基本磁盘”受26个英文字母的限制，也就是说磁盘的盘符只能是26个英文字母中的一个。因为A、B已经被软驱占用，实际上磁盘可用的盘符只有C～Z 24个。另外，在“基本磁盘”上只能建立…
[网友问题] 对硬盘做镜像时，听说有按位与按文件两种，都有什么特点？都是用在什么情况下的？GHOST是哪种方式？ [回答] 备份工作的按位(实际上是按扇区)转存意味着与文件系统无关。数据源是什么样子、有多大，目标就是什么样子，就有多大。即使没有分区、或者无法识别的分区，或者分区逻辑结构有错误，都可以完整的(包括逻辑错误)一起备份到目标设备上。 按文件转存意思是要对文件系统解释后，只按文件的方式提取到目标设备上。这个转存程序必须可以解释对应的文件系统，同时不会提取非文件数据。他的数据量也取决于源设备文…
看到网上有很多人提到，在正常使用电脑的情况下，分区类型变为RAW，双击时提示"驱动器X未被格式化，是否格式化"，导致数据无法读取。应对这类情况，网友们的恢复方案往往是各执一词，各有各的道理，大家似乎都有恢复成功的理论依据。但实际上，所有的解决方案都是建立在适当的数据结构理论基础上的，并不能一概而论。 开门见山地说吧。既然提示"驱动器X未被格式化，是否格式化"，那重点就在于这个X（就用这个盘符假定吧）是未被格式化的，或者说不知道是什么格式。那格式又是什么呢？简单的解释，把一个分区划分出结构，以便于组织文件。这个"…
【什么是RAID】 RAID的概念描述在互联网上比比皆是，用最简单的原理描述，就是在定义存储方式时允许在一部分数据缺失的情况下不影响全部数据，类似于通讯领域的纠错码。不同的冗余模式形成了不同的RAID类别。 【单一冗余模型】 我们需要先描述仅具备一个磁盘冗余的RAID模型(思想同RAID3,RAID4,RAID5)。 假设现在有3页空白的纸，用来记录一些数字，为了更清晰地记录，我们先将每页白纸划出相同大小的一些表格。再假设有一个可能：这3页纸，特定情况下会有其中某一页丢失。为了在上述设定情况保证这些数字能完整安全的…
[适用] WINDOWS平台; NTFS文件系统、FAT12\FAT16\FAT32文件系统; [症状] WINDOWS平台删除文件或格式化; 突发性数据丢失(如病毒或文件系统灾难导致); 之前盘体坏道，之后数据无法看到; [应急方案] 1、为保障数据安全，应立即将存储体从系统上关闭，通常应将硬盘从系统上拿下。 2、使用市面上的数据恢复软件时，应首选WIN2003系统或专业的硬盘只读方式进行处理，且不可挂载欲恢复分区(WIN2003默认不自动挂载系统，如果为自动挂载可认别分区，应…
相信很多人会出现这样的情况，移动硬盘之前用的好好的，在下次使用时插到电脑上后一点盘符就卡死或者一接上USB后电脑就卡死无法动弹，直接拨掉USB后又好了，这是什么原因呢？告诉你这是硬盘有坏道、逻辑错误、还有磁头不稳定，因为硬盘读取扇区超时，正常每读一个扇区是3~10MS之前，如果出现问题后读取扇区可能超过500MS或者直接坏扇区不可读取的MHDD测试红XX的那种，那么你的硬盘就会出现这样的情况。因为它读取超时，这种情况如果你有重要数据要找回的可以联系我们，我们有办法帮你处理并找回资料。 服务承诺： 1 . 免费检测 …
[适用] 普通台式机3.5寸硬盘、笔记本硬盘(1.8寸、2.5寸、并口、串口等)、移动硬盘、数码伴侣、SCSI硬盘、SAS硬盘、FC硬盘。 [症状表现] 1、工作时或闲置时摔、碰，之后加电听到盘体异响（呈规律或不规律的当、当声），不认盘或认盘异常。 2、之前磕、碰或无明显损伤，之后加电后听到硬盘有MIDI音乐播放（典型地：迈拓硬盘"滴滴滴滴”），不认盘。 3、之前磕、碰或无明显损伤，之后加电后硬盘有剧烈的吱吱声，甚至在加电后盘体会随着声音剧烈摇动或转动，不认盘或读盘缓慢，越来越慢（典型地：东芝硬盘） 4、硬盘加电后…
