杜 江，贾昌海

（1.重庆邮电大学 计算机学院，重庆 400039；2.重庆邮电大学 通信学院，重庆 400039）

随着科技高速发展，以电子数据为表现形式的犯罪行为日益增多。计算机证据作为一种新的证据形式，逐渐成为新的诉讼证据之一。因此计算机式的欺诈、侵犯、窃密、恶意篡改等种种高科技犯取证正逐渐引起人们研究与关注的焦点[1]。

在应用软件层中，有许多应用程序为了缓存或者管理某些数据，通常会把这些数据写到指定的特殊文件格式中，即使这些数据被用户删除了，这些特殊文件中仍保留有这些数据。应用软件层的数据恢复，就是对这些特殊格式的文件做分析，提取文件中存储的内容，重现已被用户删除的数据。

在Windows系统下，index.dat文件和Thumbs.db文件是两个典型。Windows系统中会存在3个index.dat文件。它们分别用来保存IE上网的cookies、临时文件和上网历史的索引信息。Thumbs.db文件通常存在于存储有图片文件的路径下。它记录了当前路径下所有图片的缩略图，以及每张图片的文件名，最后修改时间等信息。即使当前路径下所有图片文件已删除，Thumbs.db文件仍然保留这些信息。对Thumbs.db文件格式的分析以及对缩略图等信息的提取将为公安机关获取犯罪证据，有效打击犯罪提供了技术支持[2-4]。

本文围绕应用软件层数据恢复技术，以Windows操作系统的Thumbs.db文件为例，对系统文件Thumbs.db的作用及文件结构做详细分析，并将实现Thumbs.db文件分析软件，能够方便浏览、保存Thumbs.db文件中存储的缩略图等信息，借此验证对Thumbs.db文件结构分析的正确性，也进一步展现应用软件层的数据恢复技术对取证带来的积极意义。……