杭州电子科技大学学报
杭州電子科技大學學報
항주전자과기대학학보
JOURNAL OF HANGZHOU DIANZI UNIVERSITY
2011年
1期
58-61
,共4页
日志文件%文件雕复%内容特征
日誌文件%文件彫複%內容特徵
일지문건%문건조복%내용특정
该文研究了一种全新的日志文件格式-Windows Vista系统的日志文件EVTX,通过深入剖析其结构特征,提出了基于内容特征的EVTX文件雕复方法.该方法采用Evtx文件的文件头、文件块数目验证来确认文件是否分片,确认完整文件的实际尾部;利用文件块特征来搜索和匹配分片文件的数据块Chunk;从数据块Chunk中提取单条日志文件记录并解析其内容为文本形式.实验以一个Windows Visa分区镜像为数据集,实验表明该雕复方法可以自动且准确地雕复在原始磁盘镜像中连续和分片存储的Evtx文件.
該文研究瞭一種全新的日誌文件格式-Windows Vista繫統的日誌文件EVTX,通過深入剖析其結構特徵,提齣瞭基于內容特徵的EVTX文件彫複方法.該方法採用Evtx文件的文件頭、文件塊數目驗證來確認文件是否分片,確認完整文件的實際尾部;利用文件塊特徵來搜索和匹配分片文件的數據塊Chunk;從數據塊Chunk中提取單條日誌文件記錄併解析其內容為文本形式.實驗以一箇Windows Visa分區鏡像為數據集,實驗錶明該彫複方法可以自動且準確地彫複在原始磁盤鏡像中連續和分片存儲的Evtx文件.
해문연구료일충전신적일지문건격식-Windows Vista계통적일지문건EVTX,통과심입부석기결구특정,제출료기우내용특정적EVTX문건조복방법.해방법채용Evtx문건적문건두、문건괴수목험증래학인문건시부분편,학인완정문건적실제미부;이용문건괴특정래수색화필배분편문건적수거괴Chunk;종수거괴Chunk중제취단조일지문건기록병해석기내용위문본형식.실험이일개Windows Visa분구경상위수거집,실험표명해조복방법가이자동차준학지조복재원시자반경상중련속화분편존저적Evtx문건.
