李越 衡磊司法鉴定所

计算机犯罪是新型犯罪方式，技术要求较高，多是以数字形式在网络计算机上进行存储传输，产生的电子证据会潜藏在海量的正常数据之中，极易篡改、销毁，而取证提取的难度则较大。计算机犯罪者会在计算机网络中遗留证据，取证则是通过对网络中的数据信息进行识别[1]，并将获取的信息证据保存，上交认证。计算机取证则是通过扫描痕迹，对计算机网络入侵过程进行重建，将犯罪者的犯罪信息还原，作为有效的诉讼证据提交法庭。数据恢复作为计算机取证中的关键性技术，主要是包括数据恢复技术、磁盘搜索、文件格式分析等，上述技术方式的合理选择可更好取证。因此，本文就计算机取证中数据恢复的关键技术进行深入探析。

一、计算机取证中数据恢复的应用

（一）磁盘数据恢复

取证过程中需要进行丢失数据还原恢复工作，主要是针对硬盘损坏、操作失误等原因造成的数据丢失，可通过数据恢复进行补救。磁盘数据恢复是计算机数据恢复中的重要内容。磁盘作为计算机中的重要存储装置，包括硬盘与软盘两类。提前进行硬盘分区，需要对硬盘进行分区，主要划分为主分区与扩展分区，之后方可进行硬盘内数据恢复，更有利于开展系统内读写操作。

（二）NTFS数据恢复

若删除一个文件在NTFS文件系统内，不仅需要删除文件，也需将文件所述文件夹内的目录项删除，此时INDX记录则不会有数据资料在系统内遗留存在，且后续数据也可将所删除的目录进行覆盖，在空闲目录上进行操作时，定位目录项难度较大，需要花费较长时间才可以实现数据区的再分配。……