宋 冰，孙 莉，史大伟，韩胜杰

(1.河南警察学院 网络安全系，郑州 450000；2.驻马店正阳县公安局 刑警大队，河南 驻马店 463600；3.新乡市公安局 电信网络犯罪侦查支队，河南 新乡 453000)

近年来随着科技的飞速发展与日新月异，手机已经从最简单的语音文字通讯工具，变为搭载各种功能的智能设备，正走进千家万户，成为现代社会不可缺的一部分。手机中的各种App存储着重要的线索，在犯罪侦查中，手机中的数据往往是案件查破的关键。SQLite数据库作为一种轻量级数据库，普遍使用在手机的各种应用程序中，包含账户信息、通信记录、网页浏览记录、交易记录、位置信息等大量的用户痕迹。随着人们广泛使用智能设备，以及对智能手机各项功能的了解，犯罪分子对其中存储的数据进行有意的删除、更改、覆盖等操作，这无疑对犯罪线索的获取带来阻力。因此，针对SQLite数据库删除数据恢复的研究，对于案件侦查有着重要的意义。

目前针对SQLite数据库进行数据恢复的方法主要有三种：一是基于手机文件系统的工作机制。从文件属性入手，在存储设备中的未分配空间中恢复SQLite文件[1]；二是基于SQLite文件结构。通过在SQLite文件中页面的未分配区域中遍历寻找删除记录，从而达到数据恢复的目的[2]；三是基于SQLite数据库日志。对SQLite数据库自动创建的日志文件，根据记录的存储模式，分析其中的数据，恢复数据记录。SQLite数据库支持的日志类型有两种：一种是早期使用的回滚日志，另一种是预写日志(WAL)，相……