摘  要：本文着重对各个Windows版本的回收站进行分析研究。分析了Windows回收站的原理和功能、Windows XP回收站文件格式、Windows 7及Windows 10的回收站文件格式。实现了针对Windows系统的回收站文件夹深层次的电子数据取证研究，同时在研究过程中主要利用Winhex软件对回收站所存储的文件进行分析，成功获取用户删除文件的文件内容、删除时间及删除路径等信息，旨在为电子数据取证完整证据链的构建提供可靠依据。

关键词：Windows;回收站;电子数据取证

Abstract：This article focuses on the analysis of the various Windows versions of the recycle bin. Analyzed the principle and function of Windows recycle bin，Windows XP recycle bin file format，recycle bin file format for Windows 7 and Windows 10. The deep-level electronic data forensics research of the recycle bin folder for Windows system is realized. At the same time，Winhex software is mainly used to analyze the files stored in the recycle bin，and the file contents，deletion time and deletion of the deleted files are successfully obtained. Path information is intended to provide a reliable basis for the construction of a complete evidence chain for electronic data forensics.

Keywords：Windows;recycle bin;electronic data forensics

0  引  言

随着人民生活水平的不断提高和科技的不断进步，目前计算机几乎已遍布世界任何一个角落，但是计算机在方便人们的生活的同时，也成为犯罪的滋生地，计算机技术的快速发展也成为计算机犯罪的催化剂。面对数量及种类激增的计算机犯罪，电子数据取证应运而生。作为打击计算机犯罪的关键手段，及时、有效地提取相关电子物证成为电子数据取证的必要条件[1]。目前国内在电子数据取证方面的研究正如火如荼地发展中，但Windows系统尤其是最新的微软操作系统Windows 10的回收站方面的研究的相关文献较少。

在电子数据取证过程中，回收站的取证至关重要。Windows系统95版本及其后各版本文件被删除后会存放于回收站中，为用户整理文件提供便利，但同时对于取证人员来说，这正是发现证据的突破口。因大多数计算机犯罪都是将计算机作为犯罪的工具，且并不具备较好的专业技术，因此将相关涉案数据文件进行删除是最常见的反侦查手段，这也正是回收站数据取证的意义所在。……