CN114003845B - 一种用于浏览器上网痕迹碎片的恢复方法和*** - Google Patents

Abstract

本发明给出了一种用于浏览器上网痕迹碎片的恢复方法，加载浏览器缓存文件index.dat文件的内容数据，读取正常记录的Hash集；获取内容数据中分配位图中未分配块列表，从未分配块列表中获取未分配块在分配位图的索引位置，并读取未分配块的块数据；在未分配块的块数据中匹配记录签名，响应于未匹配到签名，在块数据中正则匹配搜索URL地址，并保存展示。还公开了一种用于浏览器上网痕迹碎片的恢复***，方法和***通过对index.dat文件的未分配区块的解析处理，能够从index.dat文件的未分配区块的碎片数据，恢复重组出较完整的上网痕迹记录，具有恢复速度快、恢复准确率高的特点。

Description

一种用于浏览器上网痕迹碎片的恢复方法和***

技术领域

本发明涉及计算机网络领域，尤其是一种用于浏览器上网痕迹碎片的恢复方法和***。

背景技术

Internet Explorer，简称IE，是微软推出的一款图形用户界面网页浏览器，是广大Windows操作***用户最为常用的内置应用之一。访问网站网页过程，出于各种软件易用性、网页加速加载等机制和原因，会产生历史记录、缓存记录、Cookies记录、搜索记录等用户上网痕迹，而IE浏览器会将这些上网痕迹信息缓存在特定的文件或数据库中。IE 5到IE9版本的浏览器主要将上网痕迹存储于缓存文件index.dat。而IE 10到IE 11版本的浏览器主要将上网痕迹存储于ese(Extensible Storage Engine)格式的edb(esedb)数据库文件。

IE浏览器index.dat缓存文件作为取证分析工作的重要研究对象之一，市面上大部分取证软件基本能够参照IE浏览器界面的实际展示，正确解析并重现index.dat文件中正常可见的上网记录，供进一步搜索和筛选目标信息。但大部分取证软件对index.dat文件的未分配区块却鲜有解析处理，可能造成极具价值的上网痕迹信息未被及时发现，遗漏挖掘重要线索信息。

发明内容

为了解决现有技术中的大部分取证软件可能存在的遗漏上网痕迹信息的技术问题，本发明提出了一种用于浏览器上网痕迹碎片的恢复方法和***，以解决上述技术问题。

根据本发明的一个方面，提出了一种用于浏览器上网痕迹碎片的恢复方法，该方法包括：

S1：加载浏览器缓存文件index.dat文件的内容数据，读取正常记录的Hash集；

S2：获取内容数据中分配位图中未分配块列表，从未分配块列表中获取未分配块在分配位图的索引位置，并读取未分配块的块数据；以及

S3：在未分配块的块数据中匹配记录签名，响应于未匹配到签名，在块数据中正则匹配搜索URL地址，并保存展示。

在一些具体的实施例中，内容数据包括头部信息区和记录区，头部信息区包括文件头信息、缓存目录表、未知数据区、分配位图和记录的Hash表。通过对上述缓存文件的读取可以在后续签名搜索、记录类型判定和重复性校验等处理流程提供数据基础。

在一些具体的实施例中，步骤S1在读取正常的Hash集之前，还包括读取并校验文件头信息中的文件签名，响应于文件签名匹配，读取正常的Hash集。凭借该步骤可以确保数据的有效性。

在一些具体的实施例中，步骤S2中具体包括，从未分配块列表Blocks(n)中获取第x个未分配块在分配位图的索引位置i，并读取第x个未分配块的块数据Block＝Data[0X400+i*128]。凭借该步骤可以快速获取对应未分配块的块数据。

在一些具体的实施例中，步骤S3还包括：响应于匹配到签名，按签名类型的记录数据结构解析并检查URL地址的完整性，计算记录的Hash值并校验是否与Hash集中的Hash重复，若不重复，则保存展示。

在一些具体的实施例中，签名类型包括URL记录签名、REDR记录签名和LEAK记录签名。

在一些具体的实施例中，还包括重复进行步骤S2和S3，直至未分配块列表中的未分配块全部解析完成。

根据本发明的第二方面，提出了一种计算机可读存储介质，其上存储有一或多个计算机程序，该一或多个计算机程序被计算机处理器执行时实施上述任一项的方法。

根据本发明的第三方面，提出了一种用于浏览器上网痕迹碎片的恢复***，该***包括：

缓存文件加载单元：配置用于加载浏览器缓存文件index.dat文件的内容数据，读取正常记录的Hash集；

未分配块数据读取单元：配置用于获取内容数据中分配位图中未分配块列表，从未分配块列表中获取未分配块在分配位图的索引位置，并读取未分配块的块数据；

恢复单元：配置用于在未分配块的块数据中匹配记录签名，响应于未匹配到签名，在块数据中正则匹配搜索URL地址，并保存展示。

在一些具体的实施例中，内容数据包括头部信息区和记录区，头部信息区包括文件头信息、缓存目录表、未知数据区、分配位图和记录的Hash表。通过对上述缓存文件的读取可以在后续签名搜索、记录类型判定和重复性校验等处理流程提供数据基础。

在一些具体的实施例中，缓存文件加载单元中在读取正常的Hash集之前，还包括读取并校验文件头信息中的文件签名，响应于文件签名匹配，读取正常的Hash集。凭借该设置可以确保数据的有效性。

在一些具体的实施例中，未分配块数据读取单元中从未分配块列表Blocks(n)中获取第x个未分配块在分配位图的索引位置i，并读取第x个未分配块的块数据Block＝Data[0X400+i*128]。凭借该设置可以快速获取对应未分配块的块数据。

在一些具体的实施例中，恢复单元还配置用于响应于匹配到签名，按签名类型的记录数据结构解析并检查URL地址的完整性，计算记录的Hash值并校验是否与Hash集中的Hash重复，若不重复，则保存展示。

在一些具体的实施例中，签名类型包括URL记录签名、REDR记录签名和LEAK记录签名。

本发明提出了一种用于浏览器上网痕迹碎片的恢复方法和***，通过对浏览器index.dat缓存文件的数据结构和特征分析，如果未分配块的碎片数据中存在上次分配残留的上网痕迹记录，是可以通过在未分配块进行记录签名(URL、REDR或LEAK)查找匹配，实现被碎片记录数据的恢复重组。通过记录签名搜索、记录类型判定、记录重复性校验等处理流程，能够从index.dat文件的未分配区块的碎片数据，恢复重组出较完整的上网痕迹记录。该方法具有恢复速度快、恢复准确率高的特点。

附图说明

包括附图以提供对实施例的进一步理解并且附图被并入本说明书中并且构成本说明书的一部分。附图图示了实施例并且与描述一起用于解释本发明的原理。将容易认识到其它实施例和实施例的很多预期优点，因为通过引用以下详细描述，它们变得被更好地理解。通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1是本申请的一个实施例的用于浏览器上网痕迹碎片的恢复方法的流程图；

图2是本申请的一个具体的实施例的index.dat的文件结构示意图；

图3是本申请的一个具体的实施例的缓存目录表的示意图；

图4是本申请的一个具体的实施例的分配位图的示意图；

图5是本申请的一个具体的实施例的用于浏览器上网痕迹碎片的恢复方法的流程图；

图6是本申请的一个具体的实施例的用于浏览器上网痕迹碎片的恢复***的框架图；

图7是适于用来实现本申请实施例的电子设备的计算机***的结构示意图。

具体实施方式

下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

根据本申请的一个实施例的用于浏览器上网痕迹碎片的恢复方法，图1示出了根据本申请的实施例的用于浏览器上网痕迹碎片的恢复方法的流程图。如图1所示，该方法包括：

S101：加载浏览器缓存文件index.dat文件的内容数据，读取正常记录的Hash集。

在具体的实施例中，以Windows7的IE 9为例，缓存文件index.dat以％USERPROFILE％为根路径，主要分布在以下目录：

通过对用户上网痕迹进行深入研究，可以初步分析相关用户的日常上网偏好、近期行为动向、部分虚拟帐号密码等重要线索信息，对事件取得突破性进展有重要的帮助，对取证工作存在极其重要的意义。

在具体的实施例中，IE浏览器index.dat缓存文件的文件结构包括头部信息区、记录区两个部分，组成部分关系如图2中示出的根据本申请的一个具体的实施例的index.dat的文件结构示意图。其中，文件头信息：保存了index.dat文件基本信息，主要包括文件签名、文件大小、第一个Hash表记录起始偏移、总块数、已分配的块数等信息。如下表：

缓存目录表：保存了缓存目录条目个数(4字节)和缓存条目具体信息(每条共12字节，目录中的文件数：4字节+目录名称：8字节)，如图3中示出的根据本申请的一个具体的实施例的缓存目录表的示意图。

分配位图：位图中的每个bit表示一个128字节的数据块的分配状态，1表示已分配，0表示未分配。分配位图对应表示数据块的起始偏移为0x4000。如图4中示出的根据本申请的一个具体的实施例的分配位图的示意图。

记录的Hash表：保存了每条记录对应的Hash结构体(每条共8字节，Hash值：4字节+起始偏移：4字节)。如下表：

记录：上网痕迹记录的具体信息，一般以URL、REDR或LEAK为记录签名。以URL签名类型的记录为例，其数据结构如下表所示：

S102：获取内容数据中分配位图中未分配块列表，从未分配块列表中获取未分配块在分配位图的索引位置，并读取未分配块的块数据。从未分配块列表Blocks(n)中获取第x个未分配块在分配位图的索引位置i，并读取第x个未分配块的块数据Block＝Data[0X400+i*128]。

S103：在未分配块的块数据中匹配记录签名，响应于未匹配到签名，在块数据中正则匹配搜索URL地址，并保存展示。响应于匹配到签名，按签名类型的记录数据结构解析并检查URL地址的完整性，计算记录的Hash值并校验是否与Hash集中的Hash重复，若不重复，则保存展示。其中，签名类型包括URL记录签名、REDR记录签名和LEAK记录签名。

针对IE浏览器取证分析的不足，上述方法通过对IE浏览器index.dat缓存文件数据结构进行详细深入的研究，如果未分配块的碎片数据中存在上次分配残留的上网痕迹记录，是可以通过在未分配块进行记录签名(URL、REDR或LEAK)查找匹配，实现被碎片记录数据的恢复重组。通过记录签名搜索、记录类型判定、记录重复性校验等处理流程，能够从index.dat文件的未分配区块的碎片数据，恢复重组出较完整的上网痕迹记录。具有恢复速度快、恢复准确率高的特点。避免现有技术手段中可能造成极具价值的上网痕迹信息未被及时发现，遗漏挖掘重要线索信息的问题。

继续参考图5，图5示出了根据本申请的一个具体的实施例的用于浏览器上网痕迹碎片的恢复方法的流程图，如图5所示，包括以下步骤：

S501：加载index.dat，获取文件签名。

S502：判断文件签名是否匹配。若匹配，则进入步骤S503，若不匹配，则结束。

S503：读取正常记录的HashSet(m)。

S504：解析【分配位图】数据，获取未分配块列表Blocks(n)。

S505：获取第x个未分配块索引位置i。从Blocks(n)中，获取第x个未分配块在【分配位图】的索引位置i。

S506：读取块数据Block。读取该未分配块的块数据Block＝Data[0x4000+i*128]。

S507：判断URL、REDR、LEAK签名是否匹配。在Block中，查找匹配记录签名(URL、REDR、LEAK)。若匹配到签名，则进入步骤S508，若未匹配到签名，进入步骤S511。

S508：按签名类型解析记录。按照签名类型的记录数据结构进行解析并检查URL地址的完整性。

S509：计算记录Hash值。

S510：判断Hash in HashSet(m)。校验是否与HashSet(m)中的Hash重复，若是，表示与HashSet(m)中的Hash重复，则丢弃，重新进行步骤S505，若否，则表示不与HashSet(m)中的Hash重复，则进行步骤S512。

S511：判断URL地址正则是否匹配。若匹配，则进入步骤S512，若未匹配，则返回步骤S505。

S512：记录入库并展示。

S513：判断是否x＜n。若满足x＜n，则返回步骤S505继续解析直至x＞n，Blocks(n)全部解析完成。

继续参考图6，图6示出了根据本发明的实施例的用于浏览器上网痕迹碎片的恢复***的框架图。该***具体包括缓存文件加载单元601、未分配块数据读取单元602和恢复单元603。

在具体的实施例中，缓存文件加载单元601配置用于加载浏览器缓存文件index.dat文件的内容数据，读取并校验文件头信息中的文件签名，响应于文件签名匹配，读取正常记录的Hash集；未分配块数据读取单元602配置用于获取内容数据中分配位图中未分配块列表，从未分配块列表中获取未分配块在分配位图的索引位置，并读取未分配块的块数据；恢复单元603配置用于在未分配块的块数据中匹配记录签名，响应于未匹配到签名，在块数据中正则匹配搜索URL地址，并保存展示；恢复单元603还配置用于响应于匹配到签名，按签名类型的记录数据结构解析并检查URL地址的完整性，计算记录的Hash值并校验是否与Hash集中的Hash重复，若不重复，则保存展示。

下面参考图7，其示出了适于用来实现本申请实施例的电子设备的计算机***700的结构示意图。图7示出的电子设备仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图7所示，计算机***700包括中央处理单元(CPU)701，其可以根据存储在只读存储器(ROM)702中的程序或者从存储部分708加载到随机访问存储器(RAM)703中的程序而执行各种适当的动作和处理。在RAM 703中，还存储有***700操作所需的各种程序和数据。CPU 701、ROM 702以及RAM 703通过总线704彼此相连。输入/输出(I/O)接口705也连接至总线704。

以下部件连接至I/O接口705：包括键盘、鼠标等的输入部分706；包括诸如液晶显示器(LCD)等以及扬声器等的输出部分707；包括硬盘等的存储部分708；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分709。通信部分709经由诸如因特网的网络执行通信处理。驱动器710也根据需要连接至I/O接口705。可拆卸介质711，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器710上，以便于从其上读出的计算机程序根据需要被安装入存储部分708。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分709从网络上被下载和安装，和/或从可拆卸介质711被安装。在该计算机程序被中央处理单元(CPU)701执行时，执行本申请的方法中限定的上述功能。需要说明的是，本申请的计算机可读存储介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读存储介质，该计算机可读存储介质可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。计算机可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本申请的操作的计算机程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本申请各种实施例的***、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的***来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。

作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被该电子设备执行时，使得该电子设备：加载浏览器缓存文件index.dat文件的内容数据，读取正常记录的Hash集；获取内容数据中分配位图中未分配块列表，从未分配块列表中获取未分配块在分配位图的索引位置，并读取未分配块的块数据；在未分配块的块数据中匹配记录签名，响应于未匹配到签名，在块数据中正则匹配搜索URL地址，并保存展示。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离上述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (10)

1.一种用于浏览器上网痕迹碎片的恢复方法，其特征在于，包括：

S1：加载浏览器缓存文件index.dat文件的内容数据，读取正常记录的Hash集；

S2：获取所述内容数据中分配位图中未分配块列表，从所述未分配块列表中获取未分配块在所述分配位图的索引位置，并读取所述未分配块的块数据；以及

S3：在所述未分配块的块数据中匹配记录签名，响应于未匹配到签名，在所述块数据中正则匹配搜索URL地址，并保存展示；

所述步骤S2中具体包括，从所述未分配块列表Blocks（n）中获取第x个未分配块在所述分配位图的索引位置i，并读取所述第x个未分配块的块数据Block=Data[0X400+i*128]；

所述步骤S3还包括：响应于匹配到签名，按签名类型的记录数据结构解析并检查URL地址的完整性，计算记录的Hash值并校验是否与所述Hash集中的Hash重复，若不重复，则保存展示。

2.根据权利要求1所述的用于浏览器上网痕迹碎片的恢复方法，其特征在于，所述内容数据包括头部信息区和记录区，所述头部信息区包括文件头信息、缓存目录表、未知数据区、分配位图和记录的Hash表。

3.根据权利要求2所述的用于浏览器上网痕迹碎片的恢复方法，其特征在于，所述步骤S1在读取正常的Hash集之前，还包括读取并校验所述文件头信息中的文件签名，响应于所述文件签名匹配，读取正常的Hash集。

4.根据权利要求1所述的用于浏览器上网痕迹碎片的恢复方法，其特征在于，所述签名类型包括URL记录签名、REDR记录签名和LEAK记录签名。

5.根据权利要求1所述的用于浏览器上网痕迹碎片的恢复方法，其特征在于，还包括重复进行所述步骤S2和S3，直至所述未分配块列表中的未分配块全部解析完成。

6.一种计算机可读存储介质，其上存储有一或多个计算机程序，其特征在于，该一或多个计算机程序被计算机处理器执行时实施权利要求1至5中任一项所述的方法。

7.一种用于浏览器上网痕迹碎片的恢复***，其特征在于，所述***包括：

缓存文件加载单元：配置用于加载浏览器缓存文件index.dat文件的内容数据，读取正常记录的Hash集；

未分配块数据读取单元：配置用于获取所述内容数据中分配位图中未分配块列表，从所述未分配块列表中获取未分配块在所述分配位图的索引位置，并读取所述未分配块的块数据；

恢复单元：配置用于在所述未分配块的块数据中匹配记录签名，响应于未匹配到签名，在所述块数据中正则匹配搜索URL地址，并保存展示；

所述未分配块数据读取单元中从所述未分配块列表Blocks（n）中获取第x个未分配块在所述分配位图的索引位置i，并读取所述第x个未分配块的块数据Block=Data[0X400+i*128]；

所述恢复单元还配置用于响应于匹配到签名，按签名类型的记录数据结构解析并检查URL地址的完整性，计算记录的Hash值并校验是否与所述Hash集中的Hash重复，若不重复，则保存展示。

8.根据权利要求7所述的用于浏览器上网痕迹碎片的恢复***，其特征在于，所述内容数据包括头部信息区和记录区，所述头部信息区包括文件头信息、缓存目录表、未知数据区、分配位图和记录的Hash表。

9.根据权利要求8所述的用于浏览器上网痕迹碎片的恢复***，其特征在于，所述缓存文件加载单元中在读取正常的Hash集之前，还包括读取并校验所述文件头信息中的文件签名，响应于所述文件签名匹配，读取正常的Hash集。

10.根据权利要求7所述的用于浏览器上网痕迹碎片的恢复***，其特征在于，所述签名类型包括URL记录签名、REDR记录签名和LEAK记录签名。

Images