[发明专利]一种TrueCrypt隐藏分区识别方法、终端设备及存储介质

说明书

本发明涉及一种TrueCrypt隐藏分区识别方法、终端设备及存储介质，该方法中包括：解析注册表HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices和ShellBag信息后，通过盘符信息的比对，得到存储有TrueCrypt对应盘符下的文件夹路径和文件夹最后访问时间的第二链表；通过将第二链表中所有元素对应的文件夹路径中的盘符信息移除后，采用已知的密码挂载加密卷，并根据挂载的加密卷的文件夹路径信息和文件夹最后访问时间得到第三链表；通过对第二链表和第三联表内容的比对，判断是否存在隐藏分区。本发明能够有效的识别到隐藏分区，为电子数据取证的全面深入完整，提供了技术支撑。

技术领域

本发明涉及电子数据取证领域，尤其涉及一种TrueCrypt隐藏分区识别方法、终端设备及存储介质。

背景技术

随着信息化的发展，电子信息的保密安全不可忽视，人们也越发有意识的对重要文件进行加密。电子数据取证过程中，加密文件是关注的重点，其往往存储有重要的信息。当前，TrueCrypt加密软件设置一个加密分区可以设置双重加密，可以通过设置2个密码，实现一个加密容器有两个加密分区，这两个加密分区的其中一个往往储存着相当重要且不为人知的信息，在只知道TrueCrypt加密容器一层密码的情况下，还没有手段去判断是否还存在第二层加密分区，当遇到不可控因素时只交代其中一个密码用于迷惑调查人员，这给电子数据取证带来了相当大的难题。

目前TrueCrypt加密容器的解析有两种，一种是已经在系统上解密的情况，对解密的分区进行加载，一种是通过加载加密容器，在软件上输入密码进行加载，此两种方法都存在若此加密容器存在双重加密，则另外一层加密分区是无法被解析到的问题。

发明内容

为了解决上述问题，本发明提出了一种TrueCrypt隐藏分区识别方法、终端设备及存储介质。

具体方案如下：

一种TrueCrypt隐藏分区识别方法，包括以下步骤：

S1：解析注册表HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices路径下所有的键和对应的键值，并将解析到的键和对应的键值存入第一链表内；

S2：遍历第一链表，将其中键值的内容中不包含TrueCryptVolume的元素删除；

S3：解析系统中的ShellBags信息，提取其内的文件夹路径和对应的文件夹最后访问时间，存入第二链表内；

S4：针对第二链表中的每个元素，提取其对应的文件夹路径中的盘符信息，并判断第一链表中是否存在一元素，使得该元素对应的键的内容与盘符信息相同，如果不存在，将第二链表中的该元素删除，直到第二链表中所有元素均判断完毕后，进入S5；

S5：将第二链表中所有元素对应的文件夹路径中的盘符信息移除后，采用已知的密码挂载加密卷；

S6：提取挂载的加密卷中所有的移除盘符信息后的文件夹路径和文件夹最后访问时间，存入第三链表内；

S7：针对第二链表中的所有元素，判断是否存在一第二链表中的元素对应的文件夹路径与一第三链表中的元素对应的文件夹路径相同，如果存在，则判定不存在隐藏分区；否则，进入S8；

S8：针对第二链表中的所有元素，判断是否存在一第二链表中的元素对应的文件夹最后访问时间小于第三链表中所有元素对应的文件夹最后访问时间的最大值，如果存在，则判定不存在隐藏分区；否则，判定存在隐藏分区。

进一步的，用于存储ShellBags信息的文件的存储地址为：C:\Users\username\AppData\Local\Microsoft\Windows\UsrClass.dat。