手机端F2FS镜像文件数据取证方法

F2FS文件系统是一种基于NAND存储设备设计的新型开源Flash文件系统,具有良好的性能和Flash友好的特性,得到越来越多手机厂商的关注。在手机数据取证中,人们对F2FS文件系统镜像文件的数据解析相关研究还很少,支持F2FS文件系统近期删除文件的数据解析相关研究也还不充分。文章根据F2FS文件系统特有的读写访问机制和手机图形化界面的垃圾回收机制,提出一种F2FS文件系统镜像文件的通用数据解析取证框架。实验结果表明,该方法可以准确解析F2FS文件系统的目录结构,实现近期删除文件的数据取证,有效支撑F2FS文件系统的取证研究。