司法鉴定视域下嵌入式DVR系统的数据恢复可行性探究.pdf

Chinese Journal of Forensic Sciences，2024，No.1 Total No.132司法鉴定视域下嵌入式DVR系统的数据恢复可行性探究田 野，郭 弘，李 岩，李致君，杨 恺，毛 晓（司法鉴定科学研究院 上海市司法鉴定专业技术服务平台 司法部司法鉴定重点实验室，上海 200063）摘要：目的 嵌入式数字视频录像机（digital video recorder,DVR）系统中的多媒体（视频/音频）数据往往是电子数据司法鉴定领域的重要证据，然而在司法鉴定实践中，DVR被意外删除、恶意删除或遭受损坏导致DVR中数据无法访问的现象屡见不鲜，这无疑使得电子数据鉴定过程变得更加困难。方法 结合司法鉴定工作实务，主要以存储于Micro SD卡中无法访问的DVR视频文件为例，开展了基于文件分配表（file allocation table,FAT）32文件系统和H.264相关文件格式的DVR数据恢复研究。结果 通过探讨的两种方法恢复的视频文件可以正常访问，同时还可通过运行脚本文件实现 DBR 的自动重建。结论 探讨的两种方法可有效恢复FAT32文件系统的DVR数据和H.264格式的DVR数据。此外，通过运行脚本文件自动重构DBR，可有效提高司法鉴定效率。相关鉴定技术的研究对嵌入式DVR视频的鉴定技术研究具有重要的理论研究意义和实践应用价值。关键词:DVR数据恢复；FAT32文件系统；H.264编码数据流；DBR；MBR中图分类号:D918.8 文献标志码:Adoi:10.3969/j.issn.1671-2072.2024.01.011文章编号:1671-2072-（2024）1-0074-08Exploring the Feasibility of Embedded DVR Systems Data Recovery under the Perspective of Forensic ScienceTIAN Ye,GUO Hong,LI Yan,LI Zhijun,YANG Kai,MAO Xiao（Shanghai Forensic Service Platform,Key Laboratory of Forensic Science,Ministry of Justice,Academy of Forensic Science,Shanghai 200063,China）Abstract:Objective The multimedia(video/audio)data in the embedded systems with digital video recorder(DVR)often act as vital pieces of evidence in the field of digital forensics.However,in the practice of forensic appraisal,it is common that the data in the DVR are inaccessible due to accidental deletion,malicious deletion or damage,which undoubtedly makes the digital forensics process more difficult.Methods Combined with the practice of forensic appraisal,taking the inaccessible DVR video files stored in MicroSD card as an example,the research on DVR data recovery based on the file allocation table(FAT)32 file system and H.264 related file formats was carried out.Results The video files recovered through these two methods explored in this paper can be accessed normally,and the automatic reconstruction of DOS boot record(DBR)can also be achieved by running script files.Conclusion In this paper,we effectively recovered DVR systems data of FAT32 file system and H.264 format.In addition,we also realized the automatic reconstruction of DBR by running script files,which improved the efficiency of forensic examination.The research of relevant examination techniques has significant theoretical and practical value for the research on forensic examination of embedded DVR systems.Keywords:DVR data recovery;FAT32 file system;H.264-related file format;DBR;master boot record(MBR)鉴定科学Forensic Science收稿日期：2023-04-21基金项目：科研院所公益研究专项（GY2023G-5，GY2022G-7）；上海市司法鉴定专业技术服务平台资助项目。作者简介：田野（1988），女，助理研究员，博士，主要从事电子数据鉴定、声像资料鉴定研究。E-mail：随着计算机、网络和图像处理技术的快速发展，视频监控技术得到了有效发展。目前，能够直接、准确、及时反映客观事实的视频监控在电子数据鉴定工作中具有重要意义，通过监控视频破获的案件也不断增多。目前，几乎所有车辆都安装了数字视频录像机（digital video recorder，DVR），市场规 74中国司法鉴定 2024年第1期（总第132期）模和普及率逐步增加，所有的视频和音频数据都是以数字方式存储在DVR中。因此，具有DVR功能的嵌入式系统生成的多媒体（视频/音频）数据可以发挥重要作用，成为电子数据司法鉴定领域的重要证据。随着信息技术的飞速发展，在汽车内部安装嵌入式DVR装置的数量大幅度提升。DVR能够在汽车行驶过程中或发生碰撞事故时拍摄并存储车辆外部情况，通过存储的视频/音频文件来确认事故原因1，DVR存储的多媒体数据成为案件调查的重要线索2。然而，在用户删除、外部冲击损伤、外部存储媒介重置等情况下，DVR存储的电子数据可能受损或被删除，但其可能记录了与事件相关的重要信息。因此，在取证调查过程中，恢复这些数据显得尤为重要。现有恢复数据的研究包括：利用时间信息对损坏视频文件进行基于帧恢复的方法3；针对删除或损坏的 DVR 视频数据片段进行分类、重组和提取的研究4；荷兰法医研究所（Netherlands forensic institute，NFI）推出一种应用程序 Defraser5，用于查找和恢复数据流中的完整或部分H.264文件；对 MP4文件格式6（H.264编码视频的容器文件）和 H.264 格式7进行分析，以实现对H.264编码的比特流格式进行标准化研究8，从而识别标记编码视频帧数据的模式。此类方法类似于Defraser，通过搜索帧数据并附加已知的或参考的标头来解码帧数据。由于DVR种类繁多，DVR中存储文件的格式也不尽相同，这无疑增加了对嵌入式DVR系统数据恢复的难度，因此本文主要针对广泛使用的文件分配表（file allocation table,FAT）32文件系统和H.264编码数据流格式的嵌入式DVR系统进行探究。1 DVR数据结构1.1 主引导记录区分析主引导记录区（master boot record，MBR），如图1中“”所示，位于整个硬盘的第一个扇区，按照C/H/S地址描述，即0柱面0磁头1扇区。MBR用于计算机主板的BIOS程序启动后，将整个MBR扇区读入内存中，然后由 MBR 引导程序加载操作系统。MBR包括节主引导记录（446 B）、4个硬盘分区表（disk partition table，DPT）9。MBR的关键参数通常包含引导程序、Windows磁盘签名、分区表、结束标志，MBR扇区的最后两个字节“55 AA”是分区的结束标志。图1 DVR数据结构Fig.1 Data structure of DVR1.2 FAT32文件系统FAT是Windows操作系统平台下较常见的一种文件系统，本文主要基于FAT32文件系统进行研究。FAT32文件系统一般包括DBR及其保留扇区、FAT1、FAT2、DATA区四个部分9。在FAT32文件系统中，DBR及其保留扇区、FAT1、FAT2通常以“扇区”为单位进行管理（FAT32格式的扇区通常是512 B），而数据区是以“簇”为单位进行管理。1.2.1 DOS引导记录分析DOS引导记录（DOS boot record，DBR），如图1中“”所示，位于0柱面1磁头1扇区，即逻辑扇区的第一个扇区，在DBR之后往往有一些保留扇区。DBR中记录着文件系统的起始位置、大小、FAT个数及大小等相关信息。FAT32文件系统在DBR的保留扇区中安排了一个DBR的备份，一般位于6号扇区，其内容与DBR完全相同，用于DBR访问出错时恢复 DBR。但当主 DBR 和备份 DBR 同时损坏时，则无法使用备份 DBR来恢复。DBR的主要结构信息如表1所示。表1 DBR的主要结构信息Tab.1 The key structural information of DBR偏移0 x000 x030 x0B0 x0D0 x0E0 x100 x200 x24.0 x1FE0 x1FF长度/B38212144.2描述跳转指令文件系统标志和版本每扇区字节数每簇扇区数保留扇区数FAT个数此文件系统分区的总扇区数每个FAT占用扇区数.签名标志“55 AA”75Chinese Journal of Forensic Sciences，2024，No.1 Total No.1321.2.2 FAT分析 FAT 是由一系列大小相等的 FAT 表项组成。FAT32一般由两份完全相同的 FAT组成，如图 1中“、”所示，其中FAT1为主FAT，FAT2紧随FAT1后，是FAT1的备份，称为备份FAT。FAT 表项由 0 号开始编号，0 号表项处的十六进制字节为“F8FFFF0F”，作为起始标识，1号表项处的十六进制字节为“FFFFFF0F”或“FFFFFFFF”。2号表项开始每个表项与数据区的簇号相对应，即2号表项对应 2号簇。若某个簇未被分配使用，则对应的FAT表项内容为0；若某个簇已被分配使用，则对应的 FAT表项内容为该文件或目录的下一个存储位置的簇号；若该文件或目录结束于某簇，则对应的 FAT 表项内容为“0FFFFFFF”，作为结束标志。部分FAT表项内容如表2所示。表2 部分FAT表项值及含义Tab.2 Partial FAT entry values and meaningsFAT表项值0 x000000000 x000000010 x000000020 x0FFFFEF0 x0FFFFFF00X0FFFFFF60 x0FFFFFF70 x0FFFFFF80 x0FFFFFFF含义空闲簇，即表示可用保留簇该簇已用，其值指向下一个簇号保留值坏簇文件最后一个簇1.2.3 数据区分析数据区如图1中“”所示，是FAT32文件系统的主要区域，主要由根目录、子目录和文件内容三部分组成，用来存储用户数据，紧跟在FAT2之后，被划分为一个个的簇。数据区的起始位置为2号簇，作为根目录的首簇。在FAT32文件系统下，目录项中记录文件名、大小、文件内容起始地址等，其主要结构信息如表3所示。分区根目录下的文件及文件夹的目录项存放在根目录区中，分区子目录下的文件及文件夹的目录项存放在子目录区中，根目录区和子目录区都在数据区中。FAT32的目录项通常可分为四类：（1）短文件名目录项；（2）长文件名目录项；（3）“.”目录项和“.”目录项；（4）卷标目录项。1.3 视频文件格式容器文件格式可用于视频或音频的流式传输和存储，例如基于 MPEG-4标准的 MP4格式、苹果开发的QuickTime（MOV）格式以及微软开发的AVI和WMV格式，是将视频和音频文件数据连同其他信息一起保存于单独文件中。存储于容器文件中的编码数据通常是对视频或音频文件数据的顺序进行编码，因此，恢复DVR中视频/音频数据的关键在于识别和解码编码数据。目前，编码方式有很多，但在很多行车记录仪装置、智能手机等嵌入式系统中最广泛使用的视频编码标准是 H.2647。本文主要基于 H.264 编码数据流和MOV容器文件格式进行分析。表3 数据区的主要结构信息Tab.3 The key structural information of data region偏移0 x000 x010 x0B.0 x14.0 x1A.长度/B1101.2.2.描述0 x00：未被分配使用；0 xE5：曾被使用过，现在已被删除，目前处于未被分配使用状态文件名的ASCII码，除扩展名外，如果文件名不足8个字符则用0 x20进行填充所描述文件的属性：0 x01-只读；0 x02-隐藏；0 x04-系统文件；0 x08-卷标；0 x0F-为此值时表示该目录项为长文件名目录项；0 x10-目录；0 x20-存档.文件起始簇号的高二位.文件起始簇号的低二位.1.3.1 H.264编码数据流格式H.264标准将视频编码功能结构分成两层，即视频编码层（video coding layer，VCL）和网络访问层（network abstraction layer，NAL）。其中：VCL 主要尽可能地独立于网络进行高效的编码，包括与视频帧压缩相关的所有功能；NAL具有良好的网络亲 76中国司法鉴定 2024年第1期（总第132期）和性，即负责将VCL产生的比特字符串适配到各种网络和多元环境中，涉及编码数据的封装，以实现高效存储和传输。H.264 比特流包含一系列 NAL单元作为H.264流的构建块。因此，从数据恢复的角度来看，目标是在这些单元中缺少一些数据时识别、提取和解释这些单元中的数据。NAL 是以 NALU（NAL unit）为单元来支持编码数据在基于包交换技术网络中传输的。NALU包含视频编码的NALU头部信息（NALU header）和原始字节序列有效载荷（Raw byte sequence payload，RBSP）数据，如图 2 所示。NALU 的 RBSP 可以包括VCL提供的编码视频数据或解码器所需的一些附加信息。NALU头部信息长度为1 B，由forbidden_zero_bit（1 bit）、nal_ref_idc（2 bit）和nal_unit_type（5 bit）三部分组成。其中：（1）forbidden_zero_bit，H.264规定此位为0，当网络发现NAL单元有比特错误时可设置该比特为1，以便接收方纠错或丢掉该单元；（2）nal_ref_idc，用于表示当前NALU 的 优 先 级，值 越 大 则 优 先 级 越 高；（3）nal_nuit_type，用于表示当前 NALU 中 RBSP 的类型，如nal_nuit_type为“00111”时，RBSP类型为序列参数集（sequence parameter set，SPS），主要包含序列 的 全 局 参 数，如 图 像 尺 寸、视 频 格 式 等；当nal_nuit_type 为“01000”时，RBSP 类型为图像参数集（picture parameter set，PPS），主要通过指定适用于解码一幅或多幅图片的参数来进一步补充SPS。图2 NALU格式结构Fig.2 The structure of NALU format1.3.2 MOV容器文件MOV容器文件通常是由若干个Atom（或Box）嵌套组成，如图 3 所示。Atom 存储各种类型的数据，如媒体数据、元数据、时间轨道等，其嵌套关系形成一个树状结构，以表示容器文件的层次关系（图 4）。比如：ftyp的 Atom Type为 0 x66747970，是MOV 格式的标志，有且仅有一个；moov 的 Atom Type为0 x6D6F6F76，存储媒体的元数据信息（特别是 avcC 中的 SPS和 PPS），有且仅有一个。常见的Atom类型如表4所示。图3 MOV容器文件结构 图4 MOV容器文件层次关系Fig.3 The structure of MOV container file Fig.4 The layer structure of MOV container file 77Chinese Journal of Forensic Sciences，2024，No.1 Total No.132表4 MOV内部关键Atom信息Tab.4 Information on key Atom in MOV名称ftypmdatmoovtrakmdiaminfstblstsd描述显示文件类型、兼容性等。包含关于MOV文件的相关信息，有且仅有一个保存媒体数据，如视频/音频数据存储媒体的基本信息，包括媒体的时间信息、trak信息和媒体索引等，有且仅有一个通常包含两个trak，一个视频索引，另一个音频索引存储媒体相关的信息，如媒体类型、编解码器信息等存储媒体数据的详细信息，如样本描述、编码参数等存储时间轨道的样本数据，如音频帧或视频帧保存解码器需要的媒体描述信息2 方法与结果本文主要以存储于Micro SD存储卡中无法访问的 DVR 视频文件为例，分别利用 FAT32 文件系统（即通过重构DBR和MBR技术）以及利用H.264相关文件格式（即 H.264 编码数据流格式特性）对DVR数据的恢复进行研究。2.1 利用FAT32文件系统恢复DVR2.1.1 重构DBR本节主要研究当主DBR和备份DBR同时损坏时，通过重构DBR恢复FAT32文件系统。将存储在Micro SD存储卡在只读条件下制作镜像文件。使用电子数据鉴定工具（如X-Ways Forensics、WinHex等）打开镜像文件，如图5所示。图5 使用WinHex查看磁盘镜像Fig.5 The disk image inspected with WinHex基于本文“1.2 节”对 FAT32 文件系统的分析，重构 DBR 所需的关键参数有：DBR 保留扇区数、FAT个数（通常为2个）、每个FAT所占扇区数、根目录簇号（通常为2号簇）、每簇扇区数。根据第0号表项内容，定位FAT1和FAT2起始地址分别为70号扇区和15331号扇区。该FAT32文件系统结构如图6所示。由此可知：（1）DBR及其保留扇区数为70；（2）共有2个FAT；（3）每个FAT所占扇区数为15 261；（4）根目录的起始扇区为30592。图6 FAT32文件系统结构Fig.6 The structure of FAT32 file system定位子目录分配的簇空间起始地址为30656号扇区，该扇区的簇号为 0 x00000003，即 3 号簇，如图7所示。由此可知，该FAT32文件系统每簇扇区数为64。基于上述参数重构DBR。重新加载镜像文件，如图 8所示。再现 Micro SD卡原始分区，可使用专用软件访问恢复的DVR视频文件。上述方法主要通过手动重构FAT32文件系统的DBR，本文还实现通过执行脚本文件自动重构 FAT32文件系统的DBR，关键步骤如图9所示。图7 使用WinHex查看子目录信息Fig.7 The subdirectory information inspected with WinHex 78中国司法鉴定 2024年第1期（总第132期）图8 使用WinHex重新加载磁盘镜像Fig.8 The disk image file reloaded with WinHex图9 自动重建DBR的关键信息示意图Fig.9 The schematic of key information for automatic DBR reconstruction2.1.2 重构MBR完成上述DBR的重构，此时只能使用专用软件查看恢复的视频文件，但无法在本地加载硬盘分区，也无法在本地访问视频文件。因此，还需重构MBR。基于本文“1.2节”对 MBR进行分析：（1）恢复引导程序和磁盘签名。将完好的MBR结构复制到该镜像文件中的MBR扇区。为避免两块硬盘的磁盘签名相同，修改磁盘签名的4个字节。清空分区表部分，并将分区表部分的字节全部清零。写入结束标志，即将 MBR 扇区的最后两个字节为“55 AA”。（2）重写分区表。根据本文“2.1.1 节”，FAT1起始地址为 70 号扇区，安排 DBR 在 38 号扇区，即MBR保留扇区为38，DBR的保留扇区为32，将其重新写入分区表。基于上述参数重构MBR，重新加载镜像文件可在本地加载硬盘分区，也可在本地访问DVR视频文件。2.1.3 结果与分析本节以 DVR 中 VID7657.MOV 视频文件为例进行测试分析。使用电子数据鉴定工具打开镜像文件，定位目录项，如图10所示。根据目录项可知：（1）视频文件名为 VID7657；（2）容器文件格式为“.MOV”；（3）视频文件开始簇号为 0 x922D4，即十进制598740；（4）视频文件大小为52 915 729 B。基于本文“2.1节”，通过“DBR保留扇区数+2每 FAT扇区数+每簇扇区数（子目录簇号-根目录簇号）”可知，该视频文件起始扇区为38349786。跳转至扇区 38349786，读取 52 915 729 个字节，另存为VID7657.MOV。访问并对比该视频文件与恢复至本地的视频文件，发现两者的属性信息及播放视频文件内容均一致。因此，通过本文方法重构DBR和MBR，可有效恢复FAT32文件系统的DVR视频数据。图10 使用WinHex查看目录项Fig.10 The directory entry inspected with WinHex2.2 利用H.264编码数据流格式特性恢复DVR基于本文“1.3节”和“1.4节”对MOV容器文件和H.264编码数据流格式的分析，恢复H.264视频文件的关键是定位ftyp、mdat和moov。利用H.264编码数据流格式特性恢复DVR的大致流程如图11所示。图11 恢复H.264视频文件流程图Fig.11 The flowchart of recovering H.264 video files 79Chinese Journal of Forensic Sciences，2024，No.1 Total No.132通过上述方法恢复数据发现，恢复至本地视频文件中仍存在部分视频文件无法访问的现象，见图12中的视频 VID7375.MOV，尝试使用多种播放器软件均无法访问该视频文件。图12 恢复的视频文件（包括可访问和不可访问）Fig.12 Recovered video files(both accessible and inaccessible)2.2.2 不可访问视频文件的修复针对部分不可访问的视频文件，本节以 DVR中VID7375.MOV视频文件为例进行测试分析。使用电子数据鉴定工具打开 VID7375.MOV 视频文件，其mdat的大小为0 x00000000，导致该视频文件无法访问，如图13所示。表5 H.264视频流内部关键Atom信息Tab.5 Information on key Atoms in H.264 video system偏移0 x000 x030 x040 x070 x1C0 x1F0 x200 x230 x324D8000 x324D8030 x324D8040 x324D8070 x324D8080 x324D80B0 x324D80C0 x324D80F0 x324D8740 x324D8770 x324D8780 x324D87B0 x32569710 x32569740 x32569750 x32569780 x32570D60 x32570D90 x32570DA0 x32570DD0 x32570F6值0 x000000140 x667479700 x0324D7E40 x6D6461740 x000098F70 x6D6F6F760 x0000006C0 x6D7668640 x000090FD0 x7472616B0 x000007650 x7472616B0 x000000210 x75647461含义ftyp sizeftyp 类型mdat sizemdat atommoov sizemoov atommvhd sizemoov headtrak sizetrak atom 视频部分trak sizetrak atom 音频部分udta sizeudtamoov 结束地址注：“”表示不涉及该项。2.2.1 结果与分析本节以DVR中VID7385.MOV视频文件为例进行测试分析。使用电子数据鉴定工具打开镜像文件，定位ftyp，根据偏移offset查看其值为0 x00000014，即可定位其结束地址及mdat的起始地址。该视频文件的关键节点信息如表5所示。由表5可知，moov的结束地址为0 x32570F6。从起始地址读取至结束地址，另存为 VID7385.MOV。访问并对比该视频文件与恢复至本地的视频文件，发现两者的属性信息及播放视频文件内容均一致。80中国司法鉴定 2024年第1期（总第132期）图13 使用WinHex查看mdat sizeFig.13 The mdat size inspected with WinHex该视频文件的关键节点的大小、起始地址及结束地址如表 6 所示。定位 moov 的结束地址为0 x3205CF2（0 x21+0 x3205CD1），因此，mdat 的大小为0 x31FC3E4。修改mdat的大小后，该视频文件可正常访问。因此，通过本文方法可有效修复H.264格式的DVR视频数据。表6 H.264视频流内部节点Tab.6 Internal nodes of H.264 video system名称mdatmoovmvhdtraktrakudta大小?0 x98F30 x6C0 x90F50 x7690 x21起始地址0 x1B0 x31FC4070 x31FC4730 x32055680 x3205CD1注：表示mdat的大小待修改；“”表示不涉及该项。3 结 论本文主要基于FAT32文件系统和H.264编码数据流格式对嵌入式DVR系统中不可访问视频文件进行数据恢复。通过本文所探究的方法可有效恢复嵌入式DVR系统中的电子数据。此外，本文还通过运行脚本文件实现自动重构DBR，该研究结果对嵌入式DVR系统鉴定实践具有较高的应用价值。参考文献：1 YI S Y，RYU J H，LEE C G.Development of embedded lane detection image processing algorithm for car black boxJ.Journal of the Korea Academia-Industrial Cooperation Society，2010，11（8）：2942-1950.2 KIM J J，JANG J W.A implement of blackbox with in vehicle network data and the external sensor dataJ.Journal of the Korea Institute of Information and Communication Engineering，2010，14（11）：2471-2477.3 NA G H，SHIM K S，BYUN J S，et al.Recovery corrupted video files using time informationJ.Journal of Korea Multimedia Society，2015，18（12）：1492-1500.4 PARK J H，LEE S J.Data fragment forensics for embedded DVR systemsJ.Digital Investigation，2014，11（3）：187-200.5 CASEY E，ZOUN R.Design tradeoffs for developing fragmented video carving toolsJ.Digital Investigation，2014，11：S30-S39.6 PEREIRA F C，EBRAHIMI T.The MPEG-4 bookM.Upper Saddle River，USA：Prentice Hall，2002.7 ITU-T.Advanced video coding for generic audiovisual servicesJ/OL.2023-02-06.https：/eclass.uoa.gr/modules/document/file.php/D221/%CE%A3%CE%B7%CE%BC%CE%B5%CE%B9%CF%8E%CF%83%CE%B5%CE%B9%CF%82/H.264.pdf.8 NA G H，SHIM K S，MOON K W，et al.Frame-based recovery of corrupted video files using video codec specificationsJ.IEEE Transactions on Image Processing，2013，23（2）：517-526.9 刘伟.数据恢复技术深度揭秘M.2版.北京：电子工业出版社，2016：90-262.（本文编辑：卢启萌）81