公开(公告)号：CN106126375B

公开(公告)日：2019-01-08

申请号：CN201610473917.2

申请日：2016-06-24

Applicant: 北京工业大学

Inventor： 何泾沙 ,  李亚萌 ,  方静 ,  高梦晨

IPC: G06F11/14

Abstract: 本发明公开了一种基于Hash的YAFFS2文件各版本恢复方法，包括通过对每个文件对象头时间戳分析，获得文件操作与文件时间戳间的关联，进而获得文件的版本、操作信息，通过Hash链表存储同一文件中不同版本的文件对象头，最终实现对文件各个版本的恢复。本发明通过对时间戳分析，建立了时间戳与文件操作的关联性，并以此可获得文件的时间序列和文件的各个版本号，并且通过引入Hash链表对文件对象头存储，有助于方便快捷的对同一对象头id的不同版本文件进行恢复，从而获得多个版本的文件为后续取证分析工作打下基础。

公开(公告)号：CN106126375A

公开(公告)日：2016-11-16

申请号：CN201610473917.2

申请日：2016-06-24

Applicant: 北京工业大学

Inventor： 何泾沙 ,  李亚萌 ,  方静 ,  高梦晨

IPC: G06F11/14

CPC classification number: G06F11/1471

Abstract: 本发明公开了一种基于Hash的YAFFS2文件各版本恢复方法，包括通过对每个文件对象头时间戳分析，获得文件操作与文件时间戳间的关联，进而获得文件的版本、操作信息，通过Hash链表存储同一文件中不同版本的文件对象头，最终实现对文件各个版本的恢复。本发明通过对时间戳分析，建立了时间戳与文件操作的关联性，并以此可获得文件的时间序列和文件的各个版本号，并且通过引入Hash链表对文件对象头存储，有助于方便快捷的对同一对象头id的不同版本文件进行恢复，从而获得多个版本的文件为后续取证分析工作打下基础。

公开(公告)号：CN105959328B

公开(公告)日：2019-03-12

申请号：CN201610561639.6

申请日：2016-07-15

Applicant: 北京工业大学

Inventor： 何泾沙 ,  常成月 ,  肖起 ,  李亚萌 ,  方静

IPC: H04L29/06

Abstract: 本发明涉及数字取证领域，具体而言，涉及证据图与漏洞推理相结合的网络取证方法及系统。该方法包括：从异构数据源中收集原始数据；将所述原始数据进行存储，得到第一存储数据；采用分类识别算法从所述第一存储数据中分离出证据；对所述证据进行标记处理，得到所述证据的事件向量；将所述第一存储数据、所述证据和所述事件向量建立为证据库；根据所述证据库，按照有效时间序列构建证据图；根据所述证据图，通过VERA算法推理出嫌疑攻击节点，并模拟攻击路线。异构数据源保证了数据来源的全面性和完整性，VERA可将所得证据形象的体现出来。该方法解决了现阶段取证过程中缺乏完整性、真实性，所得证据不能形象体现的问题。

公开(公告)号：CN105959328A

公开(公告)日：2016-09-21

申请号：CN201610561639.6

申请日：2016-07-15

Applicant: 北京工业大学

Inventor： 何泾沙 ,  常成月 ,  肖起 ,  李亚萌 ,  方静

IPC: H04L29/06

CPC classification number: H04L63/1416 ,  H04L63/1433 ,  H04L63/1441 ,  H04L63/308

Abstract: 本发明涉及数字取证领域，具体而言，涉及证据图与漏洞推理相结合的网络取证方法及系统。该方法包括：从异构数据源中收集原始数据；将所述原始数据进行存储，得到第一存储数据；采用分类识别算法从所述第一存储数据中分离出证据；对所述证据进行标记处理，得到所述证据的事件向量；将所述第一存储数据、所述证据和所述事件向量建立为证据库；根据所述证据库，按照有效时间序列构建证据图；根据所述证据图，通过VERA算法推理出嫌疑攻击节点，并模拟攻击路线。异构数据源保证了数据来源的全面性和完整性，VERA可将所得证据形象的体现出来。该方法解决了现阶段取证过程中缺乏完整性、真实性，所得证据不能形象体现的问题。