計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)技術(shù)綜述及引力波的實(shí)驗(yàn)探測(cè)給我們的啟示

引言1.1計(jì)算機(jī)取證概念計(jì)算機(jī)取證是指能夠?yàn)榉ㄍソ邮艿?、足夠可靠和有說(shuō)服力的，存在于計(jì)算機(jī)、網(wǎng)絡(luò)、電子設(shè)備等數(shù)字設(shè)備中的電子證據(jù)進(jìn)行確認(rèn)、收集、保護(hù)、分析、歸檔及法庭出示的過(guò)程。與傳統(tǒng)證據(jù)一樣，電子證據(jù)必須是可信、準(zhǔn)確、完整、符合法律法規(guī)的。但與傳統(tǒng)證據(jù)相比，電子證據(jù)還具有如下特點(diǎn)：多媒體性；脆弱性；無(wú)形性；高科技性；人機(jī)交互性；隨著計(jì)算機(jī)和電信技術(shù)的不斷發(fā)展，取證步驟和程序也必須不斷調(diào)整與之適應(yīng)[1]。電子證據(jù)的這些特點(diǎn)表明計(jì)算機(jī)取證中有完全不同于傳統(tǒng)取證的問(wèn)題需要研究，所以面臨不少難題，也成為信息安全領(lǐng)域關(guān)注的焦點(diǎn)。根據(jù)取證時(shí)刻和取證對(duì)象的不同，計(jì)算機(jī)取證分為靜態(tài)取證和動(dòng)態(tài)取證兩種。靜態(tài)取證主要針對(duì)靜止?fàn)顟B(tài)存儲(chǔ)的電子證據(jù)，是對(duì)取證計(jì)算機(jī)、外部設(shè)備和網(wǎng)絡(luò)中相關(guān)存儲(chǔ)設(shè)備中的定制證據(jù)和犯罪行為痕跡進(jìn)行提取、分析、識(shí)別、鑒定、保全和提交的過(guò)程，是計(jì)算機(jī)傳統(tǒng)取證技術(shù)，主要涉及數(shù)據(jù)隱藏、硬盤(pán)克隆、密碼破譯、數(shù)據(jù)保護(hù)、數(shù)據(jù)恢復(fù)等技術(shù)。靜態(tài)取證的關(guān)鍵在于及時(shí)的現(xiàn)場(chǎng)保護(hù)，通過(guò)相關(guān)的文件、日志分析工具對(duì)入侵者在系統(tǒng)上的遺留信息進(jìn)行分析和提取。動(dòng)態(tài)取證是對(duì)計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)現(xiàn)場(chǎng)進(jìn)行監(jiān)視獲取證據(jù)，動(dòng)態(tài)分析入侵者的個(gè)人信息和攻擊手段，或通過(guò)陷阱和智能追蹤的方式提取實(shí)時(shí)數(shù)字證據(jù)，可以實(shí)現(xiàn)對(duì)取證目標(biāo)的計(jì)算機(jī)犯罪相關(guān)的電子證據(jù)進(jìn)行實(shí)時(shí)捕捉、定位、采集和保全。取證模型概述了整個(gè)取證事件的全過(guò)程。文獻(xiàn)[2]綜述了基本過(guò)程取證模型、事件響應(yīng)過(guò)程模型、過(guò)程抽象模型、綜合數(shù)字取證模型、增強(qiáng)型數(shù)字過(guò)程取證模型、基于目標(biāo)的層次性取證模型、基于事件的取證模型和多維計(jì)算機(jī)取證模型等，并總結(jié)了取證原則和各種取證工具。文獻(xiàn)[1]給出了計(jì)算機(jī)取證應(yīng)用模型：取證準(zhǔn)備，使得證據(jù)具有客觀性；現(xiàn)場(chǎng)勘察及證據(jù)固定，保證證據(jù)獲取的合法性；數(shù)據(jù)分析及證據(jù)提取，保證數(shù)據(jù)與案件的關(guān)聯(lián)性；數(shù)據(jù)呈遞，保證證據(jù)對(duì)犯罪定性的有效性。從技術(shù)角度來(lái)說(shuō)，計(jì)算機(jī)取證相關(guān)技術(shù)的研究主要針對(duì)證據(jù)獲取技術(shù)和證據(jù)分析技術(shù)。證據(jù)獲取技術(shù)中，非常重要的一個(gè)技術(shù)就是數(shù)據(jù)恢復(fù)。因?yàn)殡娮幼C據(jù)具有脆弱性的特點(diǎn)，容易被損壞或者修改，恢復(fù)已經(jīng)刪除的應(yīng)用文件、日志文件、交換文件或者歷史文件碎片都可能成為犯罪案件的有力證據(jù)。1.2傳統(tǒng)數(shù)據(jù)恢復(fù)技術(shù)概念隨著社會(huì)信息化的發(fā)展，人們對(duì)于信息的依賴(lài)性越來(lái)越高，存儲(chǔ)在各種信息設(shè)備中的數(shù)據(jù)價(jià)值已經(jīng)高于設(shè)備本身，計(jì)算機(jī)數(shù)據(jù)恢復(fù)技術(shù)應(yīng)運(yùn)而生。數(shù)據(jù)恢復(fù)就是把遭受破壞、或由硬件缺陷導(dǎo)致不可訪(fǎng)問(wèn)或不可獲得、或由于誤操作等各種原因?qū)е聛G失的數(shù)據(jù)還原成正常數(shù)據(jù)。當(dāng)用戶(hù)面對(duì)計(jì)算機(jī)系統(tǒng)遭受誤操作、病毒侵襲硬件故障黑客攻擊等事件后，數(shù)據(jù)恢復(fù)技術(shù)可以將用戶(hù)的數(shù)據(jù)從各種“無(wú)法讀取”的存儲(chǔ)設(shè)備中拯救出來(lái)，從而將損失減到最小。計(jì)算機(jī)數(shù)據(jù)恢復(fù)技術(shù)主要應(yīng)用于計(jì)算機(jī)周邊各種存儲(chǔ)設(shè)備，如硬盤(pán)、U盤(pán)等，一般分為軟件恢復(fù)技術(shù)和硬件恢復(fù)技術(shù)。硬件恢復(fù)技術(shù)，是指一切由硬件損壞或失效造成的數(shù)據(jù)恢復(fù)并且涉及到硬件修理，針對(duì)的是無(wú)法進(jìn)行讀寫(xiě)操作的存儲(chǔ)設(shè)備，尤其是硬盤(pán)。硬盤(pán)由存儲(chǔ)數(shù)據(jù)的盤(pán)片、為讀取盤(pán)片設(shè)計(jì)的其他硬件和固化于硬件和盤(pán)片上的伺服軟件（即固件）等三部分組成，任何部分故障都會(huì)導(dǎo)致數(shù)據(jù)無(wú)法讀取。相應(yīng)地，硬件恢復(fù)可分為以下3種恢復(fù)方式：硬件替代：用同型號(hào)的好的硬件替代壞的硬件從而完成恢復(fù)，如硬盤(pán)電路板的替代、控制芯片的更換等。（2）固件修復(fù)：用硬盤(pán)專(zhuān)用修復(fù)工具修復(fù)硬盤(pán)固件從而恢復(fù)硬盤(pán)數(shù)據(jù)。（3）盤(pán)片讀?。涸趯?zhuān)用超凈工作間內(nèi)對(duì)硬盤(pán)進(jìn)行開(kāi)盤(pán)，取出盤(pán)片，然后用專(zhuān)門(mén)的數(shù)據(jù)恢復(fù)設(shè)備對(duì)其掃描，讀出盤(pán)片上的數(shù)據(jù)。軟件恢復(fù)技術(shù)，指一切可以通過(guò)軟件方式進(jìn)行修復(fù)，不涉及硬件修理的數(shù)據(jù)恢復(fù)，主要針對(duì)可以正常進(jìn)行讀寫(xiě)操作的存儲(chǔ)設(shè)備。軟件恢復(fù)技術(shù)可以下兩種方式：系統(tǒng)級(jí)修復(fù)技術(shù)：指操作系統(tǒng)不能正常啟動(dòng)，通過(guò)修復(fù)系統(tǒng)使得系統(tǒng)正常工作，從而恢復(fù)數(shù)據(jù)。包括對(duì)分區(qū)表及文件系統(tǒng)信息的修補(bǔ)技術(shù)，比如FAT32系統(tǒng)的引導(dǎo)扇區(qū)、FAT表、目錄表以及UNIX系統(tǒng)中的超級(jí)塊等信息一旦受損或丟失，就看不到系統(tǒng)分區(qū)，系統(tǒng)中的文件就無(wú)法正常讀取。文件級(jí)修復(fù)技術(shù)：針對(duì)存儲(chǔ)介質(zhì)上某個(gè)應(yīng)用文件損壞，又分為損壞文件的恢復(fù)和文件碎片的提取。在文件相對(duì)完整、文件頭和數(shù)據(jù)區(qū)損壞不大的情況下，可以將文件恢復(fù)；但如果文件損壞很大，數(shù)據(jù)區(qū)只殘留小部分，則只能提取文件碎片，這些碎片一般存在于分區(qū)內(nèi)未重復(fù)使用的部分和數(shù)據(jù)簇內(nèi)的剩余部分，但只對(duì)特殊的要求才有意義。1.3計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)與傳統(tǒng)數(shù)據(jù)恢復(fù)的關(guān)系計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)和傳統(tǒng)數(shù)據(jù)恢復(fù)具有很多相同點(diǎn)，比如說(shuō)基本的數(shù)據(jù)恢復(fù)技術(shù)的原理相同，從本質(zhì)上講都是從信息存儲(chǔ)設(shè)備中提取數(shù)據(jù)，并且操作前都需要保護(hù)目標(biāo)計(jì)算機(jī)系統(tǒng)，避免發(fā)生任何的改變、傷害、數(shù)據(jù)破壞或者病毒感染，都需要全部或盡可能恢復(fù)特殊的文件或者數(shù)據(jù)塊。所以說(shuō)在計(jì)算機(jī)取證中應(yīng)用數(shù)據(jù)恢復(fù)技術(shù)獲取電子證據(jù)在理論上是可行的。但由于計(jì)算機(jī)取證的特點(diǎn)和要求，計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)與傳統(tǒng)數(shù)據(jù)恢復(fù)還有很多不同之處，主要體現(xiàn)在以下幾個(gè)方面：合法性：計(jì)算機(jī)取證是國(guó)家專(zhuān)有的、是公檢法機(jī)關(guān)針對(duì)犯罪案件進(jìn)行的重要環(huán)節(jié)，計(jì)算機(jī)取證中的電子證據(jù)必須具有合法性，而由于電子證據(jù)易被修改并不留痕跡和易受環(huán)境影響的特定，這就要求取證過(guò)程采用數(shù)據(jù)恢復(fù)技術(shù)必須符合法律規(guī)范，使用工具必須通過(guò)有關(guān)部門(mén)的認(rèn)證，從而使得恢復(fù)后的數(shù)據(jù)能作為具有法律效力的證據(jù)。而傳統(tǒng)的數(shù)據(jù)恢復(fù)，是廣泛向社會(huì)服務(wù)的，不一定涉及到法律問(wèn)題，可能用作商業(yè)用途，也可能僅僅是個(gè)人需求?；謴?fù)對(duì)象和結(jié)果：傳統(tǒng)的計(jì)算機(jī)數(shù)據(jù)恢復(fù)技術(shù)恢復(fù)的數(shù)據(jù)主要是應(yīng)用文件，如客戶(hù)專(zhuān)有的word文件、視頻文件、照片文件等。客戶(hù)不僅關(guān)心文件內(nèi)容，還關(guān)心文件的完整性，即恢復(fù)之后保證文件可以正常使用。而在計(jì)算機(jī)取證中，恢復(fù)的對(duì)象不僅僅是應(yīng)用文件還有系統(tǒng)文件，并且恢復(fù)結(jié)果不一定完整或可用。因?yàn)榛謴?fù)出來(lái)的即使僅僅是一個(gè)時(shí)間點(diǎn)、某個(gè)數(shù)據(jù)偏或者幾個(gè)字節(jié)，都可能成為案件的重要線(xiàn)索。證據(jù)原始性：傳統(tǒng)數(shù)據(jù)恢復(fù)的目標(biāo)是恢復(fù)數(shù)據(jù)可用性，并不考慮是否改變?nèi)∽C對(duì)象。而計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)則要求必須保持?jǐn)?shù)據(jù)的原始性，這就要求兩者在方法選擇上會(huì)有所不同。數(shù)據(jù)恢復(fù)難度：傳統(tǒng)的計(jì)算機(jī)數(shù)據(jù)恢復(fù)處理的主要是由于意外事件造成的數(shù)據(jù)丟失。而計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)針對(duì)的是犯罪發(fā)生后犯罪嫌疑人為了毀滅證據(jù)而故意破壞數(shù)據(jù)的情況，數(shù)據(jù)恢復(fù)的難度就會(huì)隨著犯罪嫌疑人計(jì)算機(jī)水平提高而增加。1.4計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)技術(shù)研究背景及意義隨著計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的快速發(fā)展，整個(gè)社會(huì)各個(gè)行業(yè)的信息化程度不斷加深，與計(jì)算機(jī)相關(guān)的犯罪案件越來(lái)越普遍發(fā)生，會(huì)給個(gè)人、社會(huì)乃至整個(gè)國(guó)家?guī)?lái)巨大損失。所以獲取充分、可靠、有說(shuō)服力的證據(jù)能有力打擊計(jì)算機(jī)犯罪，所以計(jì)算機(jī)取證技術(shù)應(yīng)運(yùn)而生。但與計(jì)算機(jī)犯罪相關(guān)的證據(jù)大多都是電子證據(jù)，犯罪嫌疑人在實(shí)施犯罪時(shí)為了掩蓋其行蹤，很可能刪除、破壞、修改、偽造這些電子證據(jù)而給獲取有價(jià)值電子證據(jù)帶來(lái)很大困難。在計(jì)算機(jī)取證中應(yīng)用計(jì)算機(jī)數(shù)據(jù)恢復(fù)技術(shù)恢復(fù)被刪除、破壞后的數(shù)據(jù)，可以作為取得證據(jù)和犯罪線(xiàn)索的一種重要手段，也因此從計(jì)算機(jī)取證發(fā)展開(kāi)始到現(xiàn)在一直得到安全領(lǐng)域的廣泛關(guān)注。2計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)技術(shù)2.1基于FAT32的數(shù)據(jù)恢復(fù)2.1.1FAT32系統(tǒng)中硬盤(pán)數(shù)據(jù)結(jié)構(gòu)為了使用和管理方便，數(shù)據(jù)通常以文件形式存儲(chǔ)在硬盤(pán)上，為了深刻理解數(shù)據(jù)恢復(fù)技術(shù)，了解文件在硬盤(pán)上的存儲(chǔ)方式是非常有必要的。在硬盤(pán)分區(qū)的基礎(chǔ)之上，不同的文件系統(tǒng)有不同的邏輯組織方式。在FAT32文件系統(tǒng)中，硬盤(pán)被分為主引導(dǎo)記錄區(qū)（MBR區(qū)）、操作系統(tǒng)引導(dǎo)區(qū)（DBR區(qū)）、文件分配表區(qū)（FAT）、文件目錄表區(qū)（FDT）和DATA區(qū)等五個(gè)部分。MBR由分區(qū)程序生成，位于硬盤(pán)的0磁道0柱面1扇區(qū)，包括硬盤(pán)引導(dǎo)記錄MBR和分區(qū)表DPT；DBR通常位于硬盤(pán)每個(gè)分區(qū)的第0個(gè)扇區(qū)，包括一個(gè)引導(dǎo)程序和一個(gè)本分區(qū)的參數(shù)記錄表；FAT表示用于文件索引和定位的鏈?zhǔn)浇Y(jié)構(gòu)，有兩份；FDT緊跟第二個(gè)FAT表之后，兩者配合才能準(zhǔn)確定位文件位置。文件內(nèi)容以簇為單位存放在DATA區(qū)中，一個(gè)文件至少占用一個(gè)簇。當(dāng)一個(gè)文件占用多個(gè)簇時(shí)，都會(huì)對(duì)應(yīng)一個(gè)特定的簇號(hào)鏈，并存儲(chǔ)在FAT表中。每個(gè)文件在FDT表中對(duì)應(yīng)一個(gè)目錄項(xiàng)（32個(gè)字節(jié)）。當(dāng)讀取一個(gè)文件時(shí)，系統(tǒng)先讀取該文件對(duì)應(yīng)的FDT表中的目錄項(xiàng)，從中獲取該文件起始簇號(hào)和FAT表入口，再?gòu)腇AT表中獲取對(duì)應(yīng)簇號(hào)鏈，然后就可以通過(guò)移動(dòng)磁臂到對(duì)應(yīng)簇的位置進(jìn)行文件讀取。所以FAT和FDT能幫助操作系統(tǒng)關(guān)聯(lián)和識(shí)別DATA區(qū)數(shù)據(jù)，否則DATA區(qū)的數(shù)據(jù)就是沒(méi)有意義的二進(jìn)制代碼。2.1.2文件刪除后的恢復(fù)刪除文件只是改變文件在FAT中的鏈接指向，但并不代表文件實(shí)際有效數(shù)據(jù)即DATA區(qū)數(shù)據(jù)受到損壞，所以操作人員可以通過(guò)重新編制文件分配表來(lái)恢復(fù)數(shù)據(jù)。但是需要高度重視的一個(gè)問(wèn)題就是，被刪除文件所在的扇區(qū)不能被其他新文件覆蓋或占用，一旦覆蓋或者占用文件將很難甚至無(wú)法恢復(fù)。Windows文件刪除分為邏輯刪除和物理刪除兩種：邏輯刪除：是指將文件刪除到回收站，它只是在FDT表中將被刪除文件的目錄條目的第一個(gè)字節(jié)改成“E5”，作為刪除標(biāo)記，文件的實(shí)體數(shù)據(jù)并未完全刪除，所以操作人員只需要消除刪除標(biāo)記就可以還原數(shù)據(jù)，Windows自身就可以完成這樣的工作。物理刪除：相當(dāng)于“清空回收站”，文件的目錄條目被破壞，Windows自身無(wú)法恢復(fù)文件。當(dāng)文件被物理刪除時(shí)，操作系統(tǒng)仍將FDT中對(duì)應(yīng)刪除文件目錄項(xiàng)的首字節(jié)做刪除標(biāo)記，同時(shí)FAT表中對(duì)應(yīng)的文件簇號(hào)鏈也被清零，從而使操作系統(tǒng)法無(wú)識(shí)別該文件，并認(rèn)為該文件所在的DATA區(qū)是未分配空間，允許寫(xiě)入新數(shù)據(jù)。但其實(shí)文件的實(shí)體數(shù)據(jù)并沒(méi)被清除，而且FDT表中文件的首簇號(hào)也沒(méi)有損壞，所以當(dāng)文件較小或者文件占用連續(xù)存儲(chǔ)空間時(shí)，就可能將數(shù)據(jù)全部恢復(fù)出來(lái)。當(dāng)然當(dāng)文件占用的存儲(chǔ)空間不是連續(xù)的時(shí)，也可以根據(jù)不同文件的數(shù)據(jù)特征判斷哪些扇區(qū)是要找的文件內(nèi)容。通常的研究將文件刪除或損壞后的數(shù)據(jù)恢復(fù)分為以下三個(gè)層次：基于文件目錄的數(shù)據(jù)恢復(fù)基于文件目錄的數(shù)據(jù)恢復(fù)，需要根據(jù)文件系統(tǒng)的存儲(chǔ)結(jié)構(gòu)進(jìn)行數(shù)據(jù)恢復(fù)，就是前面講述的常規(guī)的文件邏輯或物理刪除后的數(shù)據(jù)恢復(fù)?；谖募?shù)據(jù)特征的數(shù)據(jù)恢復(fù)當(dāng)文件的目錄數(shù)據(jù)損壞后，無(wú)法確定哪個(gè)數(shù)據(jù)簇屬于哪個(gè)文件，而如果知道文件中若干字節(jié)內(nèi)容，就可以通過(guò)關(guān)鍵字搜索法，在整個(gè)文件系統(tǒng)搜索相應(yīng)字節(jié)串從而得到需恢復(fù)文件所在的數(shù)據(jù)塊，將塊號(hào)填入索引節(jié)點(diǎn)即可恢復(fù)該文件。而恰恰各種不同類(lèi)型的文件有其各自的數(shù)據(jù)特征，如Windows事件日志的二進(jìn)制文件是由若干記錄單元組成，其中最前面是記錄頭，最后面是紀(jì)錄尾，每條記錄的第二個(gè)雙字是特定碼：4C664C；Word文檔的前8個(gè)字節(jié)是特定碼：D0CF11E0A1B11AE1。所以可以根據(jù)不同文件類(lèi)型的數(shù)據(jù)特征從DATA區(qū)直接恢復(fù)數(shù)據(jù)，而沒(méi)有文件的完整目錄信息。而這個(gè)層次上的文件數(shù)據(jù)恢復(fù)，就需要研究各種系統(tǒng)和應(yīng)用軟件生成的不同文件類(lèi)型的數(shù)據(jù)特征。尹丹在文獻(xiàn)[6]中根據(jù)恢復(fù)對(duì)象的不同特征，分析了常規(guī)文件、Windows事件日志以及注冊(cè)表的恢復(fù)技術(shù)原理。林蔚在文獻(xiàn)[7]中詳細(xì)分析了Word文件的內(nèi)部結(jié)構(gòu)和內(nèi)容特征，提出了針對(duì)Word文件的雕復(fù)技術(shù)，其中針對(duì)Word2021提出基于內(nèi)部數(shù)據(jù)流的雕復(fù)方法，不僅能恢復(fù)連續(xù)文件，在文件分片情況下效果也較好；針對(duì)Word2021提出一種基于結(jié)構(gòu)和內(nèi)容的雕復(fù)方法，可以有效恢復(fù)二分片、非關(guān)鍵部位數(shù)據(jù)損壞或丟失的文件。殘缺數(shù)據(jù)的數(shù)據(jù)恢復(fù)電子證據(jù)是二進(jìn)制編碼，需要借助相應(yīng)軟硬件顯示以表達(dá)其實(shí)際意義。當(dāng)數(shù)據(jù)無(wú)法完整恢復(fù)時(shí)，相應(yīng)的應(yīng)用軟件就無(wú)法打開(kāi)文件，也就無(wú)法顯示文件內(nèi)容而使得恢復(fù)的部分?jǐn)?shù)據(jù)沒(méi)有實(shí)際價(jià)值。所以數(shù)據(jù)恢復(fù)技術(shù)還要研究數(shù)據(jù)的結(jié)構(gòu)特性和編碼方式，在在僅有部分?jǐn)?shù)據(jù)的情況下，盡可能多地顯示出其中具有實(shí)際意義的內(nèi)容。2.1.3硬盤(pán)格式化或硬盤(pán)分區(qū)后的恢復(fù)硬盤(pán)被格式化處理之后一般都會(huì)重新構(gòu)建DBR區(qū)中對(duì)應(yīng)的操作系統(tǒng)引導(dǎo)記錄，修改FAT和FDT表，而保留數(shù)據(jù)區(qū)中的文件數(shù)據(jù)。所以格式化也不是真正刪除數(shù)據(jù)區(qū)中的數(shù)據(jù)，可以通過(guò)相應(yīng)的數(shù)據(jù)恢復(fù)技術(shù)將其部分或完全恢復(fù)。而且分區(qū)處理之后，即使寫(xiě)入新的數(shù)據(jù)，也只是占用了分區(qū)的前部分內(nèi)容，該分區(qū)剩余空間數(shù)據(jù)仍有可能被重新組織而恢復(fù)數(shù)據(jù)。當(dāng)然這里指的是高級(jí)格式化，而低級(jí)格式化是與操作系統(tǒng)無(wú)關(guān)的物理機(jī)格式化，會(huì)將磁盤(pán)上每個(gè)扇區(qū)寫(xiě)“00”覆蓋，完全破壞硬盤(pán)所有數(shù)據(jù)而無(wú)法恢復(fù)。硬盤(pán)的分區(qū)操作是修改了MBR和DBR，絕大部分的DATA區(qū)的數(shù)據(jù)并沒(méi)有被改變，只要沒(méi)有覆蓋這個(gè)文件，即使MBR、FAT、DIR全部壞了，只要找到一個(gè)文件的起始簇位置，就可使用磁盤(pán)編輯軟件將該文件恢復(fù)，這是許多硬盤(pán)數(shù)據(jù)能夠得以修復(fù)的原因。2.1.4分區(qū)表?yè)p壞后的恢復(fù)Windows中文件管理是通過(guò)目錄來(lái)完成的，而目錄建立在分區(qū)基礎(chǔ)上的。一個(gè)物理盤(pán)通過(guò)分區(qū)表（只有1個(gè)分區(qū)時(shí)可以沒(méi)有分區(qū)表）將硬盤(pán)劃分成若干邏輯分區(qū)（也稱(chēng)卷或邏輯盤(pán)），在FAT32文件系統(tǒng)中，分區(qū)表存放在MBR區(qū)。當(dāng)分區(qū)表?yè)p壞時(shí)，系統(tǒng)就不能定位邏輯盤(pán)而無(wú)法獲取文件數(shù)據(jù)，但每個(gè)分區(qū)的開(kāi)頭有其特征，根據(jù)這些特征可以恢復(fù)分區(qū)表。2.2基于NTFS的數(shù)據(jù)恢復(fù)FAT32（以及較少使用的FAT）在某些早期版本的Windows中使用，且當(dāng)前用于大多數(shù)USB閃存驅(qū)動(dòng)器。相比FAT32，NTFS具有很多優(yōu)勢(shì)：自動(dòng)恢復(fù)磁盤(pán)相關(guān)錯(cuò)誤；對(duì)較大磁盤(pán)的支持；更高的安全性等，所以隨著Windows中NTFS文件系統(tǒng)的流行，基于NTFS的數(shù)據(jù)恢復(fù)技術(shù)具有很高的研究?jī)r(jià)值。2.2.1NTFS系統(tǒng)中硬盤(pán)數(shù)據(jù)結(jié)構(gòu)NTFS在硬盤(pán)上的結(jié)構(gòu)以卷為基礎(chǔ)，卷建立在硬盤(pán)分區(qū)基礎(chǔ)之上。所以硬盤(pán)上仍然有MBR區(qū)，這是不隨操作系統(tǒng)和文件系統(tǒng)不同而變化的。一個(gè)硬盤(pán)可有多個(gè)卷，一個(gè)卷對(duì)應(yīng)一個(gè)基本分區(qū)或擴(kuò)展分區(qū)中的一個(gè)邏輯分區(qū)。這與FAT32是相同的，而且NTFS中文件存取同樣也是按簇分配，所不同的是NTFS通過(guò)邏輯簇號(hào)（LCN）和虛擬簇號(hào)（VCN）來(lái)定位簇。NTFS分區(qū)主要由分區(qū)引導(dǎo)區(qū)、主文件表（MFT）和文件存儲(chǔ)區(qū)，而且在文件存儲(chǔ)區(qū)中部還存放了MFT前4個(gè)甚至更多的元數(shù)據(jù)文件備份。NTFS特點(diǎn)之一就是所有數(shù)據(jù)包括系統(tǒng)信息（如引導(dǎo)程序、記錄整個(gè)卷的分配狀態(tài)位圖等）都以文件形式存儲(chǔ)，每個(gè)文件對(duì)應(yīng)一個(gè)文件記錄，且文件記錄以數(shù)據(jù)庫(kù)形式組織：文件記錄就是屬性和屬性值的集合，在NTFS中稱(chēng)為流。分區(qū)引導(dǎo)區(qū)：保存了有關(guān)卷文件結(jié)構(gòu)的信息及啟動(dòng)引導(dǎo)程序，主要涉及BPB參數(shù)表。BPB表中的參數(shù)是建立文件系統(tǒng)時(shí)由操作系統(tǒng)生成的。其中數(shù)據(jù)恢復(fù)時(shí)要用到相關(guān)參數(shù)有MFT區(qū)域的起始簇號(hào)，每簇所占扇區(qū)數(shù)，每扇區(qū)字節(jié)數(shù)。MFT：MFT是NTFS的核心，文件通過(guò)MFT來(lái)進(jìn)行定位。MFT是一個(gè)關(guān)系數(shù)據(jù)庫(kù)，有一系列文件記錄組成，每個(gè)文件記錄1KB的固定大小，MFT本身也有自己的文件記錄。文件記錄在MFT中從0開(kāi)始編號(hào)，前16個(gè)文件記錄是元文件的即系統(tǒng)文件，這些元文件名字以“$”開(kāi)始，是隱藏文件，并且NTFS在文件存儲(chǔ)區(qū)還對(duì)它們進(jìn)行了備份。這16個(gè)文件是NTFS文件系統(tǒng)中唯一在MFT表中具有固定地址的文件，其他文件和目錄的文件記錄可以MFT表中的存放是任意的。MFT的第一個(gè)文件記錄就是MFT自身，它記錄著所有文件和目錄的所有情況，類(lèi)似FAT+FDT的功能，由于其重要性，系統(tǒng)專(zhuān)門(mén)為它準(zhǔn)備了一個(gè)鏡像文件即MFT中的第2個(gè)記錄。當(dāng)目錄的屬性值存放在MFT表的基本文件記錄中，該屬性就稱(chēng)為常駐屬性。如果一個(gè)目錄的屬性值太大，不能存放在一個(gè)文件記錄中，那么NTFS將從DATA區(qū)為該屬性值分配存儲(chǔ)空間。這些存儲(chǔ)空間通常稱(chēng)為一個(gè)運(yùn)行，存儲(chǔ)在運(yùn)行中的屬性稱(chēng)為非常駐屬性。非常駐屬性可以有多個(gè)數(shù)據(jù)運(yùn)行。2.2.2文件刪除后的恢復(fù)為了了解文件刪除后數(shù)據(jù)恢復(fù)原理，首先我們要知道在NTFS中文件刪除時(shí)候發(fā)生了什么。當(dāng)文件被刪除之后，在文件記錄頭部中將標(biāo)志字節(jié)置為00/02H，文件記錄的其它屬性均沒(méi)有變化；對(duì)于有數(shù)據(jù)運(yùn)行的文件，回收文件所占用的空間，不改變數(shù)據(jù)區(qū)(即數(shù)據(jù)運(yùn)行)的內(nèi)容，只是將數(shù)據(jù)運(yùn)行所占用的簇在元文件$Bitmap中對(duì)應(yīng)的位均置為0。文獻(xiàn)[15,16]中針對(duì)NTFS文件系統(tǒng)中，針對(duì)文件刪除后文件記錄頭部的變化，提出了數(shù)據(jù)恢復(fù)的策略：通過(guò)分析MBR和擴(kuò)展紀(jì)錄（EBR）的硬盤(pán)分區(qū)表，選取NTFS分區(qū)，獲取BPB參數(shù)從而得到MFT起始地址，掃描MFT，查找刪除文件的文件記錄，這一階段稱(chēng)為磁盤(pán)分析階段；通過(guò)分析文件記錄，確定文件的數(shù)據(jù)區(qū)，這一階段稱(chēng)為分區(qū)掃描階段；最后分類(lèi)對(duì)刪除文件進(jìn)行恢復(fù)，即數(shù)據(jù)恢復(fù)階段。文獻(xiàn)[17]提出通過(guò)獲取BPB參數(shù)得到MFT起始地址，掃描MFT，查找刪除文件的文件記錄，通過(guò)分析文件記錄確定文件數(shù)據(jù)區(qū)；最后對(duì)文件數(shù)據(jù)區(qū)作完整性判斷，針對(duì)完整性的不同，采用不同的恢復(fù)策略。如果文件數(shù)據(jù)區(qū)完好，沒(méi)有被覆蓋，則在另一塊盤(pán)區(qū)創(chuàng)建新文件，然后將刪除文件的數(shù)據(jù)區(qū)內(nèi)容逐個(gè)字節(jié)復(fù)制到新文件數(shù)據(jù)區(qū)。如果文件數(shù)據(jù)區(qū)被覆蓋，則不能完整恢復(fù)。對(duì)于純文本格式的文件，直接將數(shù)據(jù)區(qū)殘留數(shù)據(jù)提取，復(fù)制到新文件數(shù)據(jù)區(qū)；對(duì)于特殊格式的文件，以二進(jìn)制形式提取殘留數(shù)據(jù)，并結(jié)合數(shù)據(jù)挖掘思想從中提取敏感信息。如果文件數(shù)據(jù)區(qū)數(shù)據(jù)損壞或丟失，也可以像基于FAT32的數(shù)據(jù)恢復(fù)問(wèn)題中提到的一樣，采用基于文件類(lèi)型不同數(shù)據(jù)特征的恢復(fù)技術(shù)。2.2.3BPB損壞后的恢復(fù)一般文件刪除后，BPB參數(shù)并沒(méi)有損壞，所以很多刪除文件的數(shù)據(jù)恢復(fù)都要依賴(lài)于BPB參數(shù)，如果一旦BPB參數(shù)損壞，就無(wú)法定位目錄和文件，那么這些技術(shù)就會(huì)失效。所以數(shù)據(jù)恢復(fù)還包括BPB的恢復(fù)，其恢復(fù)原理就是根據(jù)文件系統(tǒng)存儲(chǔ)結(jié)構(gòu)的數(shù)據(jù)特征進(jìn)行恢復(fù)。當(dāng)然在NTFS中同樣也存在硬盤(pán)格式化或分區(qū)后的恢復(fù)問(wèn)題等，恢復(fù)原理的基本思想都是一致的，只要數(shù)據(jù)區(qū)數(shù)據(jù)沒(méi)有被刪除和覆蓋，都是有可能部分或完全恢復(fù)的。2.3基于閃存的數(shù)據(jù)恢復(fù)目前閃存設(shè)備（如U盤(pán)）是廣大計(jì)算機(jī)用戶(hù)存儲(chǔ)和備份數(shù)據(jù)的重要載體，越來(lái)越廣泛地被使用。因此針對(duì)閃存設(shè)備的數(shù)據(jù)恢復(fù)技術(shù)在計(jì)算機(jī)取證中的作用也越來(lái)越重要。閃存設(shè)備中應(yīng)用了FAT32文件系統(tǒng)，了解和研究基于閃存的數(shù)據(jù)恢復(fù)技術(shù)原理要以深入了解和分析閃存設(shè)備的結(jié)構(gòu)、存儲(chǔ)原理和FAT文件系統(tǒng)為前提，這里篇幅有限不做詳細(xì)介紹。對(duì)閃存設(shè)備來(lái)說(shuō)，硬件正常工作情況下（即可以通過(guò)主控芯片正常讀取邏輯數(shù)據(jù)），基于軟件的閃存數(shù)據(jù)恢復(fù)與傳統(tǒng)磁盤(pán)差別不大。但是硬件受到損壞的情況下，如果像磁盤(pán)一樣使用硬件替代或固件修復(fù)，U盤(pán)會(huì)出現(xiàn)現(xiàn)存映射表丟失現(xiàn)象而無(wú)法恢復(fù)數(shù)據(jù)。磁盤(pán)中邏輯地址和物理地址對(duì)應(yīng)關(guān)系確定不變，所以能采用盤(pán)片讀取方式進(jìn)行數(shù)據(jù)恢復(fù)，而U盤(pán)如果想通過(guò)直接讀取閃存數(shù)據(jù)實(shí)現(xiàn)數(shù)據(jù)恢復(fù)，必須找到邏輯頁(yè)和物理頁(yè)映射關(guān)系，將讀取的物理數(shù)據(jù)重新排列組織為邏輯數(shù)據(jù)內(nèi)容。U盤(pán)中邏輯頁(yè)與物理頁(yè)映射表由主控芯片自己維護(hù)與保存，而主控芯片一般也會(huì)寫(xiě)入部分信息到備用區(qū)，如邏輯頁(yè)(塊)號(hào)。在主控芯片失效的情況下，只能通過(guò)直接讀取閃存芯片，從備用區(qū)中找尋相應(yīng)的邏輯頁(yè)和物理頁(yè)映射關(guān)系。而如果主控芯片不將相應(yīng)內(nèi)容寫(xiě)入備用區(qū)，則很難實(shí)現(xiàn)數(shù)據(jù)恢復(fù)。主控芯片是否將相關(guān)信息是否寫(xiě)入閃存芯片，可以通過(guò)對(duì)正常U盤(pán)測(cè)試得知。文獻(xiàn)[18]主要考慮主控芯片將邏輯頁(yè)和物理頁(yè)映射關(guān)系寫(xiě)入備用區(qū)的情況，將針對(duì)U盤(pán)邏輯鏡像數(shù)據(jù)的恢復(fù)問(wèn)題，設(shè)計(jì)了向U盤(pán)中寫(xiě)入邏輯扇區(qū)號(hào)的方法，通過(guò)讀取閃存物理數(shù)據(jù)進(jìn)行對(duì)比分析，從而找出閃存?zhèn)溆脜^(qū)中的邏輯地址信息，成功實(shí)現(xiàn)U盤(pán)邏輯鏡像數(shù)據(jù)的恢復(fù)。并針對(duì)恢復(fù)后的U盤(pán)邏輯鏡像文件，在Linux系統(tǒng)下利用loop設(shè)備處理鏡像數(shù)據(jù)文件的技術(shù)，充分利用Linux中的文件系統(tǒng)處理功能來(lái)恢復(fù)U盤(pán)中的正常目錄和文件。這種獲得U盤(pán)邏輯頁(yè)和物理頁(yè)映射關(guān)系的方法需要通過(guò)對(duì)與故障U盤(pán)的主控芯片和閃存芯片型號(hào)完全一樣的額外正常U盤(pán)，寫(xiě)入實(shí)驗(yàn)數(shù)據(jù)進(jìn)行復(fù)雜的人工分析，不同的U盤(pán)還需要相同流程的分析，耗時(shí)較長(zhǎng)。2.4基于SSD的數(shù)據(jù)恢復(fù)SSD固態(tài)硬盤(pán)是以固態(tài)的半導(dǎo)體芯片作為存儲(chǔ)介質(zhì)的大容量存儲(chǔ)器，相比傳統(tǒng)磁盤(pán)具有讀寫(xiě)速度快、防震抗摔、低功耗無(wú)噪音等特點(diǎn)，目前廣泛應(yīng)用于筆記本電腦等便攜式設(shè)備中。SSD固態(tài)硬盤(pán)特有的垃圾回收和TRIM指令給其數(shù)據(jù)恢復(fù)帶來(lái)了災(zāi)難性的后果，會(huì)導(dǎo)致無(wú)法進(jìn)行傳統(tǒng)的數(shù)據(jù)恢復(fù)工作，而以前通過(guò)未分配簇查找證據(jù)文件碎片的方法也無(wú)法進(jìn)行。文獻(xiàn)[19]中提到SSD盤(pán)在加電的情況下，即使沒(méi)有外界讀寫(xiě)操作也會(huì)自動(dòng)發(fā)生變化，這也給SSD盤(pán)的證據(jù)保全帶來(lái)巨大的技術(shù)挑戰(zhàn)。Belkasoft公司基于對(duì)SSD固態(tài)盤(pán)取證技術(shù)的研究，推出了EvidenceCenter工具[20]，通過(guò)充分利用硬件接口、操作系統(tǒng)和固件對(duì)TRIM指令的兼容性情況，可以在特定環(huán)境下實(shí)現(xiàn)一定的SSD固態(tài)盤(pán)數(shù)據(jù)恢復(fù)。3計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)技術(shù)發(fā)展方向3.1文件碎片的重組和恢復(fù)存儲(chǔ)在計(jì)算機(jī)上的文件被刪除后容易形成文件碎片。傳統(tǒng)的取證恢復(fù)技術(shù)利用文件系統(tǒng)信息或者基于文件類(lèi)型的數(shù)據(jù)特征利用關(guān)鍵字首尾匹配可以實(shí)現(xiàn)對(duì)連續(xù)存放的文件或者已知扇區(qū)分布情況的文件的有效恢復(fù)，而對(duì)沒(méi)有關(guān)聯(lián)的文件碎片恢復(fù)則很難實(shí)現(xiàn)。因此如何對(duì)文件碎片進(jìn)行深度分析成為計(jì)算機(jī)取證研究領(lǐng)域中的一個(gè)重要問(wèn)題。特別是對(duì)存儲(chǔ)介質(zhì)進(jìn)行取證調(diào)查時(shí)，數(shù)據(jù)恢復(fù)之后可能會(huì)得到一些文件碎片，而不是完整的原始文件。目前文件碎片的重組和恢復(fù)主要遇到的挑戰(zhàn)有：區(qū)分不同類(lèi)型文件二進(jìn)制數(shù)據(jù)，使得碎片重組的范圍縮??；針對(duì)不同類(lèi)型文件，評(píng)價(jià)當(dāng)前碎片與已經(jīng)確定的文件碎片之間相似度；對(duì)于復(fù)合文件，要先將其中包含的單一文件重組成功，再進(jìn)一步還原成復(fù)合文件。3.2基于SSD的數(shù)據(jù)恢復(fù)如2.4中介紹，目前SSD由于其較好的性能已經(jīng)廣泛使用，但其存儲(chǔ)原理和傳統(tǒng)磁盤(pán)存在較大差別，其特有的垃圾回收和TRIM指令使得傳統(tǒng)針對(duì)磁盤(pán)的數(shù)據(jù)恢復(fù)技術(shù)失效，從而給其數(shù)據(jù)恢復(fù)帶來(lái)很大的挑戰(zhàn)。所以未來(lái)SSD必然取代磁盤(pán)，計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)技術(shù)的研究熱點(diǎn)必將轉(zhuǎn)向針對(duì)SSD的數(shù)據(jù)恢復(fù)。4數(shù)據(jù)恢復(fù)在計(jì)算機(jī)取證中的應(yīng)用在1.4節(jié)中，我們已經(jīng)論述了計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)與傳統(tǒng)數(shù)據(jù)恢復(fù)的相同點(diǎn)和不同點(diǎn)，證明了數(shù)據(jù)恢復(fù)技術(shù)應(yīng)用在計(jì)算機(jī)取證中的可行性和有效性，但是由于計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)相比傳統(tǒng)數(shù)據(jù)恢復(fù)的特點(diǎn)和要求，數(shù)據(jù)恢復(fù)技術(shù)在計(jì)算機(jī)取證中應(yīng)用時(shí)必須遵守一定的原則和流程規(guī)范。計(jì)算機(jī)取證中數(shù)據(jù)恢復(fù)的原則客觀性原則：要求在數(shù)據(jù)恢復(fù)過(guò)程中必須真實(shí)客觀，恢復(fù)出來(lái)的資料必須真實(shí)且能反映原始資料的面貌。這是和計(jì)算機(jī)取證中數(shù)據(jù)恢復(fù)的原始性特點(diǎn)相一致的。合法性原則：計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)必須具有合法性，所以必須遵守合法性原則。及時(shí)備份原則：為了保證訴訟效率，也為了防止被恢復(fù)的硬盤(pán)或其他存儲(chǔ)設(shè)備出現(xiàn)新的問(wèn)題，需要對(duì)恢復(fù)設(shè)備復(fù)制副本，原始設(shè)備專(zhuān)人專(zhuān)門(mén)保管，利用復(fù)制品恢復(fù)數(shù)據(jù)。這樣既可以防止恢復(fù)操作對(duì)原數(shù)據(jù)的破壞，也可以保證原始數(shù)據(jù)更強(qiáng)的證明力。環(huán)境安全原則：既要防止外界因素（如高磁場(chǎng)、高溫、高壓等）對(duì)存儲(chǔ)介質(zhì)造成損害而影響數(shù)據(jù)的恢復(fù)，又要防止人為破壞。保密原則：計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)是為偵破案件或提供法庭證據(jù)的一種司法活動(dòng)，所以整個(gè)過(guò)程必須保密。計(jì)算機(jī)取證中數(shù)據(jù)恢復(fù)的流程規(guī)范總的來(lái)說(shuō)，計(jì)算機(jī)取證中的相關(guān)原則和規(guī)定，數(shù)據(jù)恢復(fù)也要遵守。文獻(xiàn)[21]通過(guò)研究2021年7月18日審議通過(guò)，同年10月1日開(kāi)始實(shí)施的《司法鑒定程序通則》，總結(jié)了計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)的流程規(guī)范，主要包括數(shù)據(jù)恢復(fù)的申請(qǐng)、委托、受理、實(shí)施活動(dòng)、出具鑒定文書(shū)等5項(xiàng)。5總結(jié)計(jì)算機(jī)取證技術(shù)越來(lái)越廣泛地應(yīng)用于偵破打與計(jì)算機(jī)相關(guān)的犯罪犯罪案件，而數(shù)據(jù)恢復(fù)在計(jì)算機(jī)取證中也表現(xiàn)出了可行性和有效性，而成為計(jì)算取證過(guò)程張的重要環(huán)節(jié)。雖然傳統(tǒng)數(shù)據(jù)恢復(fù)已經(jīng)有很多成熟的技術(shù)，但是由于計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)有其自己的特點(diǎn)和特殊要求，不用直接應(yīng)用，相比傳統(tǒng)數(shù)據(jù)恢復(fù)更難，技術(shù)要求更高，需要進(jìn)一步研究，以滿(mǎn)足計(jì)算機(jī)取證中的實(shí)戰(zhàn)要求。現(xiàn)有計(jì)算機(jī)取證中數(shù)據(jù)恢復(fù)技術(shù)一般對(duì)連續(xù)分布或已知扇區(qū)分布的文件有較好的恢復(fù)效果，而很難實(shí)現(xiàn)沒(méi)有關(guān)聯(lián)的文件碎片的恢復(fù)和重組。所以對(duì)文件碎片的恢復(fù)和重組是未來(lái)計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)領(lǐng)域研究的重要問(wèn)題之一。另一方面，隨著計(jì)算機(jī)存儲(chǔ)介質(zhì)逐漸由磁盤(pán)轉(zhuǎn)向性能更好的SSD，這給數(shù)據(jù)恢復(fù)帶來(lái)了新的挑戰(zhàn)，所以基于SSD的數(shù)據(jù)恢復(fù)也將會(huì)成為計(jì)算機(jī)取證中數(shù)據(jù)恢復(fù)領(lǐng)域關(guān)注的另一個(gè)熱點(diǎn)。6參考文獻(xiàn)[1]任雪飛,楊永川.計(jì)算機(jī)取證技術(shù)綜述.取證技術(shù)研究,2021.[2]胡亮,王文博,趙闊.計(jì)算機(jī)取證綜述.吉林大學(xué)學(xué)報(bào)（信息科學(xué)版）,28(4),2021.[3]孫波孫,玉芳,張相鋒等.電子數(shù)據(jù)證據(jù)收集系統(tǒng)保護(hù)機(jī)制的研究與實(shí)現(xiàn).電子學(xué)報(bào),2021,32(8).[4]金波,陶明明.計(jì)算機(jī)取證關(guān)鍵技術(shù)分析.第二十一次全國(guó)計(jì)算機(jī)安全學(xué)術(shù)交流會(huì)論文集.2021.[5]張?chǎng)?新型計(jì)算機(jī)取證技術(shù)的研究:[碩士學(xué)位].2021.[6]尹丹.計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)技術(shù)研究.全國(guó)計(jì)算機(jī)安全學(xué)術(shù)交流論文集,2021,25.[7]林蔚.Word文件復(fù)雕技術(shù)的研究:[碩士學(xué)位].杭州:杭州電子科技大學(xué).2021.郭博,莫有權(quán),李慶榮等.基于FAT32文件系統(tǒng)的一種計(jì)算機(jī)取證方法.計(jì)算機(jī)應(yīng)用于軟件,2021,27(6).[8]游春暉,劉乃琦,代立松.數(shù)據(jù)恢復(fù)技術(shù)在計(jì)算機(jī)取證系統(tǒng)中的應(yīng)用.成都大學(xué)學(xué)報(bào)(自然科學(xué)版),2021,27(2).[9]程優(yōu).數(shù)據(jù)恢復(fù)技術(shù)在計(jì)算機(jī)取證系統(tǒng)中的應(yīng)用.電子技術(shù)與軟件工程,2021(20):212-213.[10]王薇.數(shù)據(jù)恢復(fù)與計(jì)算機(jī)取證.電子制作,2021(03).[11]黃步根.數(shù)據(jù)恢復(fù)與計(jì)算機(jī)取證.計(jì)算機(jī)安全,2021(06):79-80.[12]李俊莉.數(shù)據(jù)恢復(fù)技術(shù)在計(jì)算機(jī)取證中的應(yīng)用.南陽(yáng)師范學(xué)院學(xué)報(bào),2021,7(9).[13]王笑強(qiáng).數(shù)據(jù)恢復(fù)技術(shù)成為電子取證的核心技術(shù).計(jì)算機(jī)安全,2021.[14]吳琪.淺析計(jì)算機(jī)犯罪取證中的數(shù)據(jù)恢復(fù)原理.吉林公安高等專(zhuān)科學(xué)校學(xué)報(bào),2021(2).[15]杜江,王石東.計(jì)算機(jī)取證中的數(shù)據(jù)恢復(fù)技術(shù)研究.重慶郵電大學(xué)學(xué)報(bào)(自然科學(xué)版),2021,22(5).[16]基于NTFS文件系統(tǒng)的計(jì)算機(jī)取證研究:[碩士學(xué)位].重慶:重慶郵電大學(xué).2021.[17]趙雙峰,費(fèi)金龍,劉楠.WindowsNTFS下數(shù)據(jù)恢復(fù)的研究與實(shí)現(xiàn).計(jì)算機(jī)工程與設(shè)計(jì),2021,29(2).[18]易凌鷹.基于閃存數(shù)據(jù)恢復(fù)的計(jì)算機(jī)取證技術(shù)的研究與實(shí)現(xiàn):[碩士學(xué)位論文].北京:北京郵電大學(xué),2021.[19]楊澤明,劉寶旭,許榕生.數(shù)據(jù)取證研究現(xiàn)狀與發(fā)展態(tài)勢(shì).科研信息化技術(shù)與應(yīng)用2021,6(1):3-11.[20]URL:/ssd-2021.[21]沈樹(shù)強(qiáng).電子證據(jù)鑒定視角下的數(shù)據(jù)恢復(fù)問(wèn)題研究:[碩士學(xué)位].北京:中國(guó)政法大學(xué),2021.

引力波的實(shí)驗(yàn)探測(cè)給我們的啟示摘要：引力理論的發(fā)展經(jīng)歷了數(shù)百年，從牛頓到愛(ài)因斯坦，從萬(wàn)有引力定律到廣義相對(duì)論。在這過(guò)程中，科學(xué)家們引力波的預(yù)言質(zhì)疑不休、爭(zhēng)論不止。而引力波的實(shí)驗(yàn)探測(cè)無(wú)疑證明了一切。引力波的發(fā)現(xiàn)，彌補(bǔ)了愛(ài)因斯坦的廣義相對(duì)論的漏洞，也確定了他的理論的正確。這是人類(lèi)史上出現(xiàn)的又一契機(jī)，它將為人類(lèi)社會(huì)帶來(lái)重大變革?！捌莆濉笔侵袊?guó)傳統(tǒng)迎財(cái)神的日子。2016年的這一天，卻一個(gè)讓全世界物理學(xué)界沸騰的日子，甚至許多的物理學(xué)家為之痛哭流涕——被預(yù)言已經(jīng)百年的引力波，終于被探測(cè)到了。引力是什么？在今天人們所知道的物質(zhì)的四種基本相互作用中，引力作用為最弱。四種相互作用按作用強(qiáng)度比例順序是：強(qiáng)相互作用(1),電磁相互作用(10),弱相互作用(10),引力相互作用(10)。因此，在研究基本粒子的運(yùn)動(dòng)時(shí)，引力一般略去不計(jì)。但在天文學(xué)領(lǐng)域內(nèi)，由于涉及的對(duì)象的質(zhì)量極其巨大，引力就成為不僅支配著天體的運(yùn)動(dòng)，而且往往是天體的結(jié)構(gòu)和演化的決定因素。引力并不是一種所謂的“力”，而是一種屬性。牛頓在1687年出版的《自然哲學(xué)的數(shù)學(xué)原理》一書(shū)中首次提出萬(wàn)有引力定律，基于此，他結(jié)識(shí)了彗星的運(yùn)動(dòng)軌道和地球上的潮汐現(xiàn)象，并根據(jù)萬(wàn)有引力定律成功地預(yù)言并發(fā)現(xiàn)了海王星。萬(wàn)有引力定律出現(xiàn)后，才正式把研究天體的運(yùn)動(dòng)建立在力學(xué)理論的基礎(chǔ)上，從而創(chuàng)立了天體力學(xué)。簡(jiǎn)單的說(shuō)，質(zhì)量越大的東西產(chǎn)生的引力越大，地球的質(zhì)量產(chǎn)生的引力足夠把地球上的東西全部抓牢。1905年，愛(ài)因斯坦提出狹義相對(duì)論，突破了絕對(duì)時(shí)間和絕對(duì)空間的概念，否定了瞬時(shí)超距作用，從根本上動(dòng)搖了建立在這些舊觀念基礎(chǔ)上的牛頓引力理論。經(jīng)過(guò)十年的探索后，愛(ài)因斯坦于1915年提出了迄今為止最成功的近代引力理論——廣義相對(duì)論。廣義相對(duì)論中，引力被歸咎于時(shí)空的彎曲。這種彎曲是由物質(zhì)造成的，物質(zhì)的質(zhì)量越大，所形成的扭曲也就越嚴(yán)重。但是這種彎曲，對(duì)于人類(lèi)來(lái)說(shuō)根本感知不到，一是因?yàn)槿祟?lèi)伴隨這種彎曲一起彎曲了，而是由于這種彎曲太微小。大質(zhì)量物體發(fā)生的扭曲引起了震動(dòng)，而這種震動(dòng)，就是引力波?？茖W(xué)家們通過(guò)探測(cè)這種時(shí)空震蕩，來(lái)證實(shí)引力波的存在。早在1916年，愛(ài)因斯坦在廣義相對(duì)論中就預(yù)言了引力波的存在。而科學(xué)家們普遍認(rèn)為，這次LIGO這一發(fā)現(xiàn)是愛(ài)因斯坦相對(duì)論實(shí)驗(yàn)驗(yàn)證中最后一塊缺失的“拼圖”，證實(shí)了愛(ài)因斯坦廣義相對(duì)論的正確性，彌補(bǔ)了愛(ài)因斯坦的廣義相對(duì)論的漏洞，驗(yàn)證了已故科學(xué)家愛(ài)因斯坦的預(yù)言。探測(cè)的儀器叫做邁克爾遜干涉儀，或是LIGO。LIGO的“兩條腿”都有4千米長(zhǎng)，最近的一次升級(jí)就花去了幾十億美元。LIGO的原理是什么？簡(jiǎn)單來(lái)說(shuō)是利用光速不變，在同樣的直線(xiàn)路程里測(cè)試耗時(shí)，而通過(guò)時(shí)間的偏差（盡最大可能排除誤差，也是耗資巨大的原因）來(lái)判定空間確實(shí)存在震動(dòng)。這樣的實(shí)驗(yàn)設(shè)置基于愛(ài)因斯坦的假設(shè)：光速不變，是因?yàn)橐怨獾囊暯强?，它沿途?jīng)過(guò)的空間發(fā)生了折疊伸縮?？赡艿囊Σㄌ綔y(cè)源包括致密雙星系統(tǒng)（白矮星，中子星和黑洞）。在2016年2月11日，LIGO科學(xué)合作組織和Virgo合作團(tuán)隊(duì)宣布他們已經(jīng)利用高級(jí)LIGO探測(cè)器，首次探測(cè)到了來(lái)自于雙黑洞合并的引力波信號(hào)。在過(guò)去的數(shù)十年里，許多物理學(xué)家和天文學(xué)家為證明引力波的存在進(jìn)行了大量研究。其中，泰勒和赫爾斯由于第一次得到引力波存在的間接證據(jù)榮獲1993年諾貝爾物理學(xué)獎(jiǎng)。到目前為止，類(lèi)似的雙中子星系統(tǒng)已經(jīng)發(fā)現(xiàn)了近十個(gè)，但是雙黑洞系統(tǒng)卻是首次。在實(shí)驗(yàn)方面，第一個(gè)對(duì)直接探測(cè)引力波作偉大嘗試的人是韋伯。雖然他的共振棒探測(cè)器最后沒(méi)能找到引力波，但是韋伯開(kāi)創(chuàng)了引力波實(shí)驗(yàn)科學(xué)的先河，為如今的碩果打下了基礎(chǔ)。因?yàn)樵诘孛嫔虾苋菀资艿礁蓴_，所以物理學(xué)家們也在向太空進(jìn)軍。歐洲的空間引力波項(xiàng)目eLISA（演化激光干涉空間天線(xiàn)）。eLISA將由三個(gè)相同的探測(cè)器構(gòu)成為一個(gè)邊長(zhǎng)為五百萬(wàn)公里的等邊三角形，同樣使用激光干涉法來(lái)探測(cè)引力波。此項(xiàng)目已經(jīng)歐洲空間局通過(guò)批準(zhǔn)，正式立項(xiàng)，目前處于設(shè)計(jì)階段，計(jì)劃于2034年發(fā)射運(yùn)行。作為先導(dǎo)項(xiàng)目，兩顆測(cè)試衛(wèi)星已經(jīng)于2015年12月3日發(fā)射成功，目前正在調(diào)試之中。中國(guó)的科研人員，在積極參與目前的國(guó)際合作之外之外，也在籌建自己的引力波探測(cè)項(xiàng)目。引力波的實(shí)驗(yàn)探測(cè)引起了世界范圍的轟動(dòng)，這些探測(cè)極其不易，宇宙中發(fā)生爆炸性的大事件時(shí)產(chǎn)生的引力波，才相對(duì)容易探測(cè)到，例如黑洞合并、星系合并、超新星爆炸等。100年前，愛(ài)因斯坦在預(yù)言引力波存在時(shí)就曾說(shuō)：“這些數(shù)值是如此微小，她們不會(huì)對(duì)任何的東西產(chǎn)生顯著的作用，沒(méi)人能夠去測(cè)量它們?！辈桃环蚪o出解釋?zhuān)骸皶r(shí)間發(fā)生得越早，距離越遠(yuǎn)，越會(huì)在宇宙中傳播期間被紅移。紅移指的是由于宇宙本身的膨脹將所有的波動(dòng)的波長(zhǎng)拉直拉平，這樣其波動(dòng)性就難以被探測(cè)到。例如，這次LIGO探測(cè)到的引力波，是13億年以前兩個(gè)大約30個(gè)太陽(yáng)質(zhì)量的黑洞并合所產(chǎn)生的引力波，振幅之小，是在原子核尺寸的千分之一的尺度。能探測(cè)到真的是非常不容易，LIGO實(shí)驗(yàn)組的科學(xué)家們也是在幾十年里經(jīng)歷多次挫折，不斷調(diào)整方案，改進(jìn)儀器，才最終探測(cè)到的。”所以它的成功探測(cè)也標(biāo)志著在這個(gè)領(lǐng)域人類(lèi)的技術(shù)進(jìn)步到了前所未有的水平。而它所具有的里程碑意義不止在科學(xué)情感上，更在于能夠打開(kāi)人類(lèi)的一個(gè)新的世界——每個(gè)人都對(duì)它滿(mǎn)懷期待。如果電磁波探測(cè)是人類(lèi)的眼睛，那么人類(lèi)又多了一雙聆聽(tīng)外界的耳朵。馬克斯·普朗克引力物理研究所說(shuō)：“在《星際穿越》和《三體》中，都不約而同地將引力波選為了未來(lái)科技發(fā)達(dá)的人類(lèi)的通訊手段，這也許只能是美好的幻想，但對(duì)于天文研究而言，引力波的確開(kāi)啟了一扇新的窗口。吹進(jìn)來(lái)的第一縷清風(fēng)，就帶來(lái)了一個(gè)重大的信息：極重的恒星級(jí)雙黑洞系統(tǒng)存在并可以在足夠短的時(shí)間（10億年）內(nèi)并合。這是讓我們始料未及的。誰(shuí)能知道在將來(lái)的更多的探測(cè)中，LIGO和一眾引力波探測(cè)器能帶給我們什么樣的驚喜呢？”引力波有兩個(gè)非常重要而且比較獨(dú)特的性質(zhì)。第一：不需要任何的物質(zhì)存在于引力波源周?chē)?。這時(shí)就不會(huì)有電磁輻射產(chǎn)生。第二：引力波能夠幾乎不受阻擋的穿過(guò)行進(jìn)途中的天體。比如，來(lái)自于遙遠(yuǎn)恒星的光會(huì)被星際介質(zhì)所遮擋，引力波能夠不受阻礙的穿過(guò)。對(duì)于天文學(xué)家來(lái)說(shuō)，這兩個(gè)特征允許引力波攜帶有更多的之前從未被觀測(cè)過(guò)的天文現(xiàn)象信息，而每一個(gè)電磁波譜的打開(kāi)，都會(huì)為我們帶來(lái)前所未有的發(fā)現(xiàn)。天文學(xué)家們同樣期望引力波也是如此。而引力波本身的性質(zhì)也可能對(duì)基礎(chǔ)物理學(xué)產(chǎn)生巨大的影響。另外，引力波蘊(yùn)含的，很可能是宇宙誕生的畫(huà)面。我們從小都被告知一個(gè)最著名的猜想——宇宙是在一場(chǎng)爆炸中誕生的。這意味著，在時(shí)空的開(kāi)始，宇宙又一次最為劇烈的震動(dòng)。引力波就能讓我們還原這個(gè)震動(dòng)——它是否存在？有多大規(guī)模？不僅如此，引力波還能傳遞信息——我們看不到的宇宙空間在發(fā)生什么？據(jù)科學(xué)家解釋?zhuān)@次的引力波就是在遙遠(yuǎn)的距離上巨大的黑洞變化引起的。而這一結(jié)果也證明了黑洞真實(shí)存在——至少是廣義相對(duì)論預(yù)測(cè)的由純凈、真空、扭曲時(shí)空組成的完美圓形物體。并且，引力波傳遞的信息可以讓科學(xué)家更精確地估計(jì)宇宙膨脹的速度?？偠灾?，一個(gè)新的重大科學(xué)發(fā)現(xiàn)，總會(huì)給人類(lèi)社會(huì)帶來(lái)無(wú)法預(yù)估的發(fā)展。18世紀(jì)面熟電磁波的麥克斯韋理論確認(rèn)的時(shí)候，也沒(méi)人知道會(huì)給人類(lèi)帶來(lái)什么，但是現(xiàn)在不管是電視機(jī)還是移動(dòng)電話(huà)，都與電磁現(xiàn)象有關(guān)。引力波的發(fā)現(xiàn)類(lèi)似當(dāng)年的發(fā)現(xiàn)X光一樣，是一種工具。有了這個(gè)工具，我們可以利用引力波的觀察，去觀察遙遠(yuǎn)的宇宙的現(xiàn)象。發(fā)現(xiàn)暗物質(zhì)、時(shí)空穿梭等等才是有可能實(shí)現(xiàn)的事情。如果沒(méi)有引力波，以我們現(xiàn)有的技術(shù)是做不到這些科幻世界才有的事情的?！凹热灰Σㄊ谴嬖诘模谝Σǖ目蒲兴悸房尚判跃痛蟠筇岣吡?。就好像走一條未知的路，走到半路，有人懷疑不對(duì)，結(jié)果證實(shí)是對(duì)的，那么就可以加快步伐了?！碧K萌說(shuō)。世界各國(guó)都加大了探測(cè)研究引力波的力度，我國(guó)也緊跟探索引力波的步伐?！疤烨儆?jì)劃”參與者、中山大學(xué)天文與空間科學(xué)研究院院長(zhǎng)李淼教授介紹，“天琴計(jì)劃”是我國(guó)自主開(kāi)展空間引力波探測(cè)的可行方案，發(fā)射三顆衛(wèi)星探測(cè)引力波，該計(jì)劃預(yù)期執(zhí)行期為2016~2035年，分四階段實(shí)施。項(xiàng)目還將挖山洞，建觀測(cè)站以及建設(shè)綜合研究大樓。預(yù)計(jì)擬投三億啟動(dòng)。天琴計(jì)劃預(yù)期執(zhí)行期為2016-2035年，分四階段實(shí)施：（1）2016-2020年：完成月球/深空衛(wèi)星激光測(cè)距、空間等效原理檢驗(yàn)實(shí)驗(yàn)和下一代重力衛(wèi)星實(shí)驗(yàn)所需關(guān)鍵技術(shù)研發(fā)。主要研發(fā)成果包括：新一代月球激光測(cè)距反射器、月球激光測(cè)距臺(tái)站、高精度加速度計(jì)、無(wú)拖曳控制（包含微推進(jìn)器）、高精度星載激光干涉儀、星間激光測(cè)距技術(shù)等；（2）2021-2025年：完成空間等效原理檢驗(yàn)實(shí)驗(yàn)和下一代重力衛(wèi)星實(shí)驗(yàn)工程樣機(jī)，并成功發(fā)射下一代重力衛(wèi)星和空間等效原理實(shí)驗(yàn)衛(wèi)星。主要研發(fā)成果包含：超靜衛(wèi)星平臺(tái)、高精度大型激光陀螺儀以及進(jìn)一步提高加速度計(jì)、無(wú)拖曳控制、高精度星載激光干涉儀、星間激光測(cè)距等技術(shù)；（3）2026-2030年：完成空間引力波探測(cè)關(guān)鍵技術(shù)，完成衛(wèi)星載荷工程樣機(jī)；（4）2031-2035年：進(jìn)行衛(wèi)星系統(tǒng)整機(jī)聯(lián)調(diào)測(cè)試、系統(tǒng)組裝，發(fā)射空間引力波探測(cè)衛(wèi)星。李淼介紹，“天琴計(jì)劃”的出發(fā)點(diǎn)是切實(shí)根據(jù)我國(guó)的技術(shù)能力實(shí)際和未來(lái)幾十年的發(fā)展前景，提出我國(guó)自主開(kāi)展空間引力波探測(cè)的可行方案。在目前討論的初步概念中，天琴將采用三顆全同的衛(wèi)星構(gòu)成一個(gè)等邊三角形陣列，每顆衛(wèi)星內(nèi)部都包含一個(gè)或兩個(gè)極其小心懸浮起來(lái)的檢驗(yàn)質(zhì)量。衛(wèi)星上將安裝推力可以精細(xì)調(diào)節(jié)的微牛級(jí)推進(jìn)器，實(shí)時(shí)調(diào)節(jié)衛(wèi)星的運(yùn)動(dòng)姿態(tài)，使得檢驗(yàn)質(zhì)量始終保持與周?chē)谋Ｗo(hù)容器互不接觸的狀態(tài)。這樣檢驗(yàn)質(zhì)量將只在引力的作用下運(yùn)動(dòng)，而來(lái)自太陽(yáng)風(fēng)或太陽(yáng)光壓等細(xì)微的非引力擾動(dòng)將被衛(wèi)星外殼屏蔽掉。高精度的激光干涉測(cè)距技術(shù)將被用來(lái)記錄由引力波引起的、不同衛(wèi)星上檢驗(yàn)質(zhì)量之間的細(xì)微距離變化，從而獲得有關(guān)引力波的信息。“天琴”的衛(wèi)星將在以地球?yàn)橹行摹⒏叨燃s10萬(wàn)公里的軌道上運(yùn)行，針對(duì)確定的引力波源進(jìn)行探測(cè)。這樣的選擇能夠避免測(cè)到引力波信號(hào)卻無(wú)法確定引力波源的問(wèn)題。中國(guó)科學(xué)院也于2016年2月16日公布了空間引力波探測(cè)與研究的“空間太極計(jì)劃”。按照這一計(jì)劃，我國(guó)將在2030年前后發(fā)射由位于等邊三角形頂端三顆衛(wèi)星組成的引力波探測(cè)星組，用激光干涉方法進(jìn)行中低頻波段引力波的直接探測(cè)。主要科學(xué)目標(biāo)是觀測(cè)雙黑洞并合和極大質(zhì)量比天體并合時(shí)產(chǎn)生的引力波輻射，以及其他的宇宙引力波輻射過(guò)程。中科院力學(xué)研究所胡文瑞院士表示，“我國(guó)目前的技術(shù)能力與國(guó)際先進(jìn)水平還有一定的差距，這種差距可以通過(guò)良好的國(guó)際合作得到一定的彌補(bǔ)?！焙娜鹫f(shuō)，“空間太極計(jì)劃”是一個(gè)中歐合作的國(guó)際合作計(jì)劃，目前有兩個(gè)方案：方案一是參加歐洲空間局的eLISA雙邊合作計(jì)劃；方案二是發(fā)射一組中國(guó)的引力波探測(cè)衛(wèi)星組，與2035年左右發(fā)射的eLISA衛(wèi)星組同時(shí)遨游太空，進(jìn)行低頻引力波探測(cè)。據(jù)介紹，空間引力波探測(cè)被列入中科院制訂的空間2050年規(guī)劃。2008年由中科院發(fā)起，中科院多個(gè)研究所及院外高?？蒲袉挝还餐瑓⑴c。引力波的發(fā)現(xiàn)是感人至深的，它印證了一位物理學(xué)大師的睿智偉大，為年富力強(qiáng)的物理學(xué)家們?cè)鎏砹诵判暮桶参俊Ｔ诶硇陨?，引力波的發(fā)現(xiàn)更是激動(dòng)人心的，人類(lèi)的歷史將會(huì)改寫(xiě)，一切都是未知，未知也許會(huì)更加美好。參考文獻(xiàn)：[1].柏格曼著，周奇、郝蘋(píng)譯：《相對(duì)論引論》，高等教育出版社，北京，1961。(P.G.Bergmann,IntroductiontotheTheoryofRelativity,Butterworths,London,1958.)[2].溫伯格著，鄒振隆譯：《引力和宇宙論》，科學(xué)出版社，北京，1979。(S.Weinberg,GravitationandCosmology,JohnWileyandSons,NewYork,1972.)[3].北京:科學(xué)出版社,1977.J·韋伯著,陳鳳至,張大衛(wèi).《廣義相對(duì)論與引力波》[4].《引力波與引力波探測(cè)》李芳昱、張顯洪[5].《引力、引力波和引力波的探測(cè)》薛鳳家，《大學(xué)物理》[6].《空間時(shí)間引力》（美）沃爾德史新奎金麗莉[7].《自然哲學(xué)的數(shù)學(xué)原理》艾薩克牛頓1687[8].《原理》艾薩克牛頓[9].《論引力波》愛(ài)因斯塔1918[10].《廣義相對(duì)論》劉遼，趙崢-2004