[发明专利]一种识别AVI类型block的方法

摘要

本发明公开了一种识别AVI类型block的方法，该方法是基于AVI文件格式的字节识别码和C4.5决策树的方法，是针对磁盘、U盘等存储介质中AVI文件类型block的识别方法，该方法设计针对磁盘、U盘等存储介质删除数据不依赖文件系统元数据进行雕刻提供了预处理步骤，一般的文件雕刻需要经历分类和恢复两个步骤；本发明的步骤是首先通过字节识别码识别出具有特定标识码的block，然后对于尚未识别出的block，在通过模拟出与磁盘存储环境相似的训练集得到决策树后，再进行二次识别。该方案适应复杂、多文件、大容量的存储环境。此外，本发明针对原本属于AVI的block具有良好的识别准确率，对于司法取证、数据恢复等应用领域都有较高的应用价值。

主权项

一种识别AVI类型block的方法，其特征在于，所述方法包括如下步骤：步骤1：镜像备份；所述备份为完全备份，存储在备份对象上的删除数据和未删除数据都被拷贝存储在另一个介质上，包括：1)选择另一存储介质；2)根据备份对象不同，选择不同的备份工具，对备份对象的所有数据进行完全备份；3)备份完成，保存原存储介质；备份在另一存储介质上的数据将用于AVI类型block的识别；步骤2：提取block；1)扫描镜像数据，分析元数据，确定镜像中已分配的block和未分配的block；2)已分配的block数据不需要恢复；将已分配的block做标记；然后，依次读取出未分配的block，并以txt文件形式存储起来；每一个被以txt格式存储的block是识别的对象；步骤3：字节标志码匹配；AVI文件类型属于RIFF封装类型的文件一种；RIFF文件类型包含各种用于区分数据类型的字节识别码；通过对RIFF文件类型的文件分析，除了RIFF这个字节识别码外，这些类型的文件没有其他相同的识别码；通过除RIFF外的字节识别码确定block的类型；步骤4：C4.5决策树识别；建立一个与存储介质类型存储环境相当的训练集，该训练集包含了存储介质中所有文件类型的block，并且每种文件类型的block数量足够且相同，然后对这些block进行预处理，包括：1)应用Matlab提取输入的block的字节频率分布特征，所有文件的字节频率分布特征构成了block数*256的矩阵，并保存为CSV文件；每一行代表一个block的字节频率分布特征，每一列就是一个用作特征的字节值；2)根据每个block所属的文件类型，确定每一行的属性值；如果该行的字节频率分布为AVI碎片特征，记作Yes，反之，记作No；对于预处理获得的CSV文件，通过C4.5决策树方法建立决策树，决策树的每个节点都是作为特征的字节值，将字节识别码匹配后剩下的block依次根据C4.5算法识别，包括：步骤4‐2‐1：读取需要识别的block，提取其字节频率分布特征；步骤4‐2‐2：根据已经建立的C4.5决策树，在获得某个需要识别的block的字节频率分布后，按照每个节点的阈值逐个选择分支，当判断到叶子结点时，识别完成；步骤4‑2‑3：按照步骤4‐2‐1、步骤4‐2‐2完成其他所有block的识别。