Windows Vista系统日志雕复方法研究与实现

• 作者: 楼永坚 王鹏
• 来源期刊: 杭州电子科技大学学报（自然科学版）
• 关键词: 日志文件 文件雕复 内容特征
• 年，卷（期）: 2011,（1）
• 页码范围: 58-61
• 分类号: TP391
• 语种: 中文
• DOI: 10.3969/j.issn.1001-9146.2011.01.015

摘要

该文研究了一种全新的日志文件格式-Windows Vista系统的日志文件EVTX,通过深入剖析其结构特征,提出了基于内容特征的EVTX文件雕复方法.该方法采用Evtx文件的文件头、文件块数目验证来确认文件是否分片,确认完整文件的实际尾部;利用文件块特征来搜索和匹配分片文件的数据块Chunk;从数据块Chunk中提取单条日志文件记录并解析其内容为文本形式.实验以一个Windows Visa分区镜像为数据集,实验表明该雕复方法可以自动且准确地雕复在原始磁盘镜像中连续和分片存储的Evtx文件.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	楼永坚	杭州电子科技大学计算机学院	19	113	6.0	9.0
2	王鹏	杭州电子科技大学计算机学院	6	8	2.0	2.0