《数据恢复与电子取证》课程综合实训指导书

Windows版的数据恢复软件中，X-Ways Forensics已经广为应用。我们经常把它称之为WinHex，不过也没有错，它们是德国X-Ways公司的姊妹产品，适用面稍有区别。X-Ways Forensics主要用于电子数据分析与处理，本身可以独立使用，功能很强，做数据恢复只是它的一小部分功能。大家常见的WinHex总体上有个人版、专业版、专家版和法证版几个不同版本。WinHex 法证版实际就是X-Ways Forensics，但也稍有区别：除了法政版，都可以进行磁盘编辑及修改，而后者禁止

本文主要论述系统取证技术，结 合当前的各种取证技术热点及其中英文相关文献，提出了一个系统取证总体框架 模型。本文重点分析了三个子模块分别为：数据恢复技术模块、注册表取证分析 模块和网络事件行为模块。在数据恢复模块中，设计出了基于 FAT 文件系统的连 续与离散数据恢复算法，NTFS 文件系统的数据恢复算法、已删除目录完整重构算 法；针对注册表取证分析中，本文结合注册表的特点，给出了所有可能隐含证据 的注册表键值，准确获取这些键值中存在的所有电子数据；在网络事件行为分析 模块中，本文重点论述了受

UrlViewer深度上网痕迹检查工具2012是一款涉密检查、电子取证辅助工具。 UrlViewer2012的快速检查功能可以在一分钟内获取当前系统的上网痕迹。 UrlViewer2012的深度检查利用数据恢复与特征匹配技术从磁盘直接搜索网页访问痕迹、资源管理器访问痕迹、Cookies及其他上网痕迹，即使重装操作系统以后依然能够搜索出上网痕迹。 UrlView2011相比同类软件可以搜索出2倍以上的信息量。 本软件能够从磁盘级搜索网页访问痕迹、资源管理器访问痕迹、Cookies及其他上网痕迹。

全书根据WinHex 菜单来划分章节，详细描述了WinHex 的全部功能和使用方法，对于那些晦涩难懂 的知识点，利用编写实验代码的方式直观地展示其原理。本书还揭示了WinHex 脚本编程及WinHex API 函数的秘密，这在相关图书中是很难得的。最后，本书以SQL Server 数据库页组合技术为案例回顾了部 分所学内容。 本书以WinHex 的功能模块为线索，看似讲述操作技法，实则探讨数据恢复技术的研究思路，旨在拓 宽读者视野，引发读者的兴趣，适合数据恢复工程师、数据恢复程序员、数据恢复研