大華嵌入視頻監(jiān)控系統(tǒng)電子數(shù)據(jù)恢復(fù)技術(shù)研究

李子川，張 祚

（1.中國(guó)刑事警察學(xué)院， 沈陽(yáng)110854；2.北京華信數(shù)據(jù)恢復(fù)中心，北京100080）

·論 著·

大華嵌入視頻監(jiān)控系統(tǒng)電子數(shù)據(jù)恢復(fù)技術(shù)研究

李子川1，張 祚2

（1.中國(guó)刑事警察學(xué)院， 沈陽(yáng)110854；2.北京華信數(shù)據(jù)恢復(fù)中心，北京100080）

近些年來(lái)多數(shù)生產(chǎn)視頻監(jiān)控設(shè)備的廠商采用非通用型視頻監(jiān)控系統(tǒng)，導(dǎo)致視頻數(shù)據(jù)恢復(fù)困難，本文選取了市場(chǎng)占有率較大的大華視頻監(jiān)控系統(tǒng)進(jìn)行深入分析，通過(guò)解析其視頻監(jiān)控DHFS文件系統(tǒng)的關(guān)鍵參數(shù)以及幀格式等信息，實(shí)現(xiàn)了在大華監(jiān)控視頻數(shù)據(jù)被誤格式化或者部分覆蓋的情況下殘缺大華視頻監(jiān)控?cái)?shù)據(jù)的通道分離與重組，進(jìn)而完成了對(duì)大華視頻監(jiān)控?cái)?shù)據(jù)的恢復(fù)工作。實(shí)驗(yàn)結(jié)果證明了該技術(shù)方法的高效性和準(zhǔn)確性，同時(shí)也為其它類型的非通用型視頻監(jiān)控文件系統(tǒng)的電子數(shù)據(jù)取證工作提供建設(shè)性的取證鑒定思路。

電子物證；通道分離；大華文件系統(tǒng)解析技術(shù)DHFS

在各類案件的偵辦過(guò)程中，由于監(jiān)控視頻偵查技術(shù)的作用越來(lái)愈突出，嫌疑人千方百計(jì)偽造或篡改不利的監(jiān)控視頻，因此視頻監(jiān)控系統(tǒng)的文件恢復(fù)成為電子取證領(lǐng)域研究的熱點(diǎn)問(wèn)題。尤其是一些市場(chǎng)占有率大的視頻監(jiān)控系統(tǒng)，如大華視頻監(jiān)控系統(tǒng)，視頻監(jiān)控?cái)?shù)據(jù)的恢復(fù)就顯得更為重要。嵌入式視頻監(jiān)控系統(tǒng)多采用非通用型視頻監(jiān)控存儲(chǔ)的文件系統(tǒng)［1］，用常規(guī)的取證工具無(wú)法解析，如Encase、X-ways等，視頻監(jiān)控文件的恢復(fù)取證工作只能通過(guò)分析視頻監(jiān)控底層數(shù)據(jù)進(jìn)行。對(duì)于非通用型視頻監(jiān)控系統(tǒng)的取證技術(shù)有一些取證經(jīng)驗(yàn)的總結(jié)以及檢驗(yàn)技術(shù)方法的設(shè)計(jì)［2-4］，但是仍然有較多問(wèn)題值得深入研究。通過(guò)分析嵌入式非通用型視頻監(jiān)控系統(tǒng)提出了通過(guò)特征關(guān)鍵字底層搜索的技術(shù)方法［5］，找到視頻監(jiān)控文件結(jié)構(gòu)特征，實(shí)現(xiàn)對(duì)視頻監(jiān)控文件內(nèi)容進(jìn)行底層恢復(fù)的目的，但是這種技術(shù)方法仍然沒(méi)能有效確認(rèn)文件的通道信息?；謴?fù)出的視頻監(jiān)控文件會(huì)出現(xiàn)視頻監(jiān)控文件結(jié)構(gòu)不完整，視頻內(nèi)容通道混亂的問(wèn)題，還會(huì)出現(xiàn)多個(gè)通道的視頻內(nèi)容。本文通過(guò)深入分析嵌入式大華視頻監(jiān)控DHFS文件系統(tǒng)，對(duì)視頻監(jiān)控?cái)?shù)據(jù)進(jìn)行了通道分離，實(shí)現(xiàn)了該類視頻監(jiān)控文件的較為完整數(shù)據(jù)的恢復(fù)。

1 DHFS文件系統(tǒng)的結(jié)構(gòu)分析

1.1 DHFS文件系統(tǒng)解析與關(guān)鍵信息提取

大華視頻監(jiān)控文件系統(tǒng)屬于典型的非通用型文件系統(tǒng)，其視頻監(jiān)控?cái)?shù)據(jù)存儲(chǔ)結(jié)構(gòu)均由廠商自己定義，在存有大華視頻監(jiān)控的磁盤(pán)中可以在0扇區(qū)偏移量為0x0000位置發(fā)現(xiàn)文件系統(tǒng)關(guān)鍵字“DHFS”標(biāo)識(shí)信息，十六進(jìn)制表示為0x44484653342E31，后面接著存有文件系統(tǒng)的版本信息，如DHFS4.1。DHFS文件系統(tǒng)的1扇區(qū)至33扇區(qū)為保留扇區(qū)，34扇區(qū)為系統(tǒng)啟動(dòng)扇區(qū)。第34扇區(qū)能夠發(fā)現(xiàn)引導(dǎo)扇區(qū)的標(biāo)識(shí)0x55AA55AA，并且在相對(duì)扇區(qū)頭偏移量為0x30的位置能夠讀出DHFS文件系統(tǒng)的塊大小信息0x0000000000001000，占用8個(gè)字節(jié)，十進(jìn)制表示為4096，單位為扇區(qū)，即DHFS文件系統(tǒng)的塊大小為2 MB，塊是DHFS文件系統(tǒng)為視頻文件分配的最小存儲(chǔ)單位，塊內(nèi)理論上只能存在單一通道的視頻監(jiān)控文件。塊的存在為優(yōu)化DHFS視頻監(jiān)控恢復(fù)算法起到了十分重要的作用。值得注意的是，DHFS屬于自定義的視頻監(jiān)控系統(tǒng)，即便同一個(gè)版本由于配置的不同底層數(shù)據(jù)存儲(chǔ)的格式也會(huì)出現(xiàn)一些差別，這時(shí)需要調(diào)查人員根據(jù)具體情況加以分析。

1.2 DHFS視頻監(jiān)控幀格式解析

幀是視頻監(jiān)控?cái)?shù)據(jù)組成的基本單位，視頻監(jiān)控?cái)?shù)據(jù)是由許多幀按照一定的順序組合而成，幀存在多種類型，而且?guī)拇笮〔还潭?，每個(gè)幀的起始位置不一定只出現(xiàn)在扇區(qū)或塊的起始地址，它可以出現(xiàn)在任何合理的物理地址范圍內(nèi)。大華視頻監(jiān)控文件中視頻幀是由其自定義的網(wǎng)絡(luò)通訊協(xié)議封裝RTP載荷的H.264碼流組成，大華視頻幀與一般的H.264編碼的視頻幀是不同的，它對(duì)原始H.264視頻數(shù)據(jù)進(jìn)行了多次封裝。

由于大華視頻每幀中都含有特定的網(wǎng)絡(luò)通訊協(xié)議頭部信息和尾部信息，通過(guò)分析幀中網(wǎng)絡(luò)通訊協(xié)議頭或尾部的數(shù)據(jù)特點(diǎn)可以實(shí)現(xiàn)對(duì)視頻幀進(jìn)行搜索和定位，經(jīng)過(guò)大量實(shí)驗(yàn)發(fā)現(xiàn)其幀起始特定標(biāo)志為大寫(xiě)字母DHAV，十六進(jìn)制表示為0x44484156，幀結(jié)束標(biāo)志為小寫(xiě)字母dhav，十六進(jìn)制表示為0x64686176（見(jiàn)圖1）。大華幀頭部結(jié)構(gòu)中記錄了基本的視頻屬性信息，例如幀的編號(hào)、幀所屬通道號(hào)、幀長(zhǎng)度以及幀的創(chuàng)建時(shí)間等等。這些屬性是視頻監(jiān)控?cái)?shù)據(jù)進(jìn)行通道分離與重組的關(guān)鍵信息，其中與視頻監(jiān)控恢復(fù)相關(guān)的屬性信息，如表1所示，頭部結(jié)構(gòu)中相對(duì)DHAV標(biāo)識(shí)偏移量為0x04描述的是幀類型；如圖1中偏移0x06位置描述通道號(hào)，此幀的通道號(hào)是0x0005，具體含義表示為6通道，因?yàn)橥ǖ捞?hào)是0作為基數(shù)表示1通道；0x08描述的是此幀編號(hào)，考慮到大小端表達(dá)形式，十六進(jìn)制表示為0x47D0；相對(duì)DHFS偏移0x0C是此幀的長(zhǎng)度，此幀長(zhǎng)度是0x00000F80，十進(jìn)制表示為3698字節(jié)；相對(duì)DHAV偏移0x10是描述此幀的創(chuàng)建時(shí)間信息，十六進(jìn)制表示為0x39308EBB。如圖1中 dhav后四個(gè)字節(jié)為幀長(zhǎng)度，十六進(jìn)制表達(dá)式為0x20F8，轉(zhuǎn)換成十進(jìn)制為8840字節(jié)，用于校驗(yàn)。尾部結(jié)束標(biāo)志為小寫(xiě)字母dhav，具體幀尾部結(jié)構(gòu)見(jiàn)表2。

圖1 DHFS文件系統(tǒng)的幀頭與幀尾Fig.1 Frame head and tail in DHFS

2 DHFS視頻監(jiān)控存儲(chǔ)方式研究

2.1 DHFS視頻文件存儲(chǔ)方式分析

視頻監(jiān)控采用實(shí)時(shí)文件順序存儲(chǔ)方式，整體的基本布局結(jié)構(gòu)如圖2上所示，從文件系統(tǒng)數(shù)據(jù)區(qū)可以分析出大華視頻監(jiān)控文件系統(tǒng)的標(biāo)識(shí)，視頻監(jiān)控存儲(chǔ)塊大小等信息，這些參數(shù)對(duì)于大華視頻監(jiān)控?cái)?shù)據(jù)的恢復(fù)有十分重要的作用，例如DHFS會(huì)實(shí)時(shí)分配給各個(gè)視頻通道2 MB存儲(chǔ)空間，該值由啟動(dòng)扇區(qū)中相應(yīng)參數(shù)定義，各通道的視頻片段以2 MB為分割，在磁盤(pán)中順序交替存儲(chǔ)，但是有些情況下也存在連續(xù)存放單一通道2 MB視頻片段的情況，假設(shè)CHn表示所屬通道的2 MB視頻片段，在只有3個(gè)通道的視頻監(jiān)控系統(tǒng)中，DHFS文件系統(tǒng)中各通道視頻片段存儲(chǔ)排列情況如圖2下所示，視頻片段代表視頻存儲(chǔ)過(guò)程中一個(gè)2 MB的視頻數(shù)據(jù)塊，其中編號(hào)為1~6的視頻片段為正常錄制視頻監(jiān)控的情況，各個(gè)通道視頻片段交替存儲(chǔ)。編號(hào)6~10屬于連續(xù)錄制同一通道監(jiān)控視頻的情況。如果DHFS文件系統(tǒng)誤格式化或部分視頻覆蓋的情況下，視頻監(jiān)控系統(tǒng)的文件系統(tǒng)遭到破壞，視頻監(jiān)控的恢復(fù)需要通過(guò)通道分離與重組進(jìn)行還原，即分離出1、4、8編號(hào)的視頻片段，重組成通道一的視頻監(jiān)控文件，分離出2、5、9、10編號(hào)的視頻片段，重組成通道二的視頻監(jiān)控文件，分離出3、6、7編號(hào)的視頻片段，重組成通道三的視頻監(jiān)控文件。因此對(duì)于DHFS文件系統(tǒng)數(shù)據(jù)取證問(wèn)題，將轉(zhuǎn)化成如何確定2 MB塊對(duì)齊，以及如何確定2 MB大小的塊屬于哪個(gè)通道的視頻監(jiān)控文件的問(wèn)題，這兩問(wèn)題將在2.2 和3中進(jìn)一步討論。

表1 DHFS幀頭部結(jié)構(gòu)Table 1 Frame head structure of DHFS

表2 DHFS幀尾部結(jié)構(gòu)Table 2 Frame tail structure of DHFS

一般情況下，DHFS4.1數(shù)據(jù)塊內(nèi)全部存儲(chǔ)視頻數(shù)據(jù)，但某些DHFS4.1系統(tǒng)中數(shù)據(jù)塊采用了自定義索引結(jié)構(gòu)，在塊的起始部分加入了關(guān)鍵幀時(shí)間索引信息，起始標(biāo)識(shí)為DHII，目的是為了方便用戶查找特定時(shí)間點(diǎn)上的視頻監(jiān)控信息（見(jiàn)圖3左）。相對(duì)DHII偏移量為0x6AFAF位置上的十六進(jìn)制底層數(shù)據(jù)如圖3右上所示，從圖中可以看出通過(guò)索引信息可以實(shí)現(xiàn)通過(guò)時(shí)間信息定位查找到對(duì)應(yīng)關(guān)鍵幀的存儲(chǔ)位置。多數(shù)的嵌入視頻監(jiān)控系統(tǒng)中采用的時(shí)間格式多種多樣，大華視頻監(jiān)控系統(tǒng)中也不例外，大華監(jiān)控系統(tǒng)時(shí)間采用32位格式，起始時(shí)間為2000年1 月1日0時(shí)0分0秒。其中32位二進(jìn)制數(shù)中，從高到低，分別用6位表示年，4位表示月，5位表示天，5位表示小時(shí)，6位表示分鐘，6位表示秒。以圖4中的時(shí)間0xA648DF38為例，首先轉(zhuǎn)換成大端字節(jié)序0x38DF48A6，轉(zhuǎn)換過(guò)程見(jiàn)圖3右下。值得注意的是轉(zhuǎn)換后的年需要加上2000年，才能得到最終的時(shí)間2014年3月15日20時(shí)34分22秒。此外通過(guò)解析時(shí)間格式可以在待檢驗(yàn)的檢材中進(jìn)行視頻監(jiān)控碎片級(jí)數(shù)據(jù)搜索。需要明確此時(shí)間為大華視頻監(jiān)控中幀創(chuàng)建的時(shí)間，這與視頻中顯示的起始錄制時(shí)間會(huì)稍有差別，但是在大多數(shù)情況下，幀創(chuàng)建時(shí)間與視頻中顯示的時(shí)間具有對(duì)應(yīng)關(guān)系。

圖2 視頻監(jiān)控整體的基本布局結(jié)構(gòu)（上）和數(shù)據(jù)塊排列方式（下）Fig.2 Overall layout structure （up） and data blocks arrangement （bottom） of video surveillance

2.2 DHFS的塊對(duì)齊方法分析

圖3 大華關(guān)鍵幀時(shí)間索引（左）、關(guān)鍵幀查找結(jié)果（右上）和視頻監(jiān)控時(shí)間格式（右下）Fig.3 Key frame time index （left）， key frame search result （top right） and time format （bottom right） of Dahua video surveillance

塊對(duì)齊的目的是為了正確分離通道和重組視頻，因?yàn)榛贒HFS視頻監(jiān)控系統(tǒng)的存儲(chǔ)方式分析，單一塊中只能存放某一個(gè)通道的視頻內(nèi)容，如果待恢復(fù)視頻監(jiān)控系統(tǒng)中磁盤(pán)內(nèi)容進(jìn)行了部分的覆蓋，塊內(nèi)信息不完整，應(yīng)對(duì)剩余未被覆蓋的存儲(chǔ)空間進(jìn)行結(jié)構(gòu)還原，確定塊與塊間的分割關(guān)系，從而正確的分離通道重組視頻文件。視頻監(jiān)控系統(tǒng)中原始數(shù)據(jù)未被破壞的情況下，可以在待檢磁盤(pán)中找到視頻監(jiān)控?cái)?shù)據(jù)錄制的起始位置作為分塊的起始地址， 0x8F60000正常情況下是大華監(jiān)控錄像錄制的起始地址。若是原始數(shù)據(jù)被破壞的情況下，應(yīng)找到具有特征的標(biāo)識(shí)作為起始地址，例如DHFS4.1中的“DHII”，可以作為視頻分塊的依據(jù)。此外還可以通過(guò)找到連續(xù)存儲(chǔ)空間出現(xiàn)幀中含有不同的通道號(hào)的地址范圍，如圖4所示，選取偏移量0x8F60000至0x9360000地址空間為分析對(duì)象，0x915F0CC位置出現(xiàn)DHFS幀頭信息，在0x06偏移量位置，顯示的通道號(hào)為0x00，表示通道1，同時(shí)在接著連續(xù)的存儲(chǔ)空間0x9160000中發(fā)現(xiàn)DHFS幀頭信息，在偏移量0x06的位置，顯示的通道號(hào)為0x01，表示為通道2，取兩幀之間物理地址整數(shù)兆位置0x9160000作為塊分割的標(biāo)識(shí)地址。即取磁盤(pán)物理地址整數(shù)兆地址作為塊分割的標(biāo)識(shí)物理地址。

圖4 鑒別數(shù)據(jù)塊分界Fig.4 Identifi cation of data block boundary

3 DHFS視頻監(jiān)控文件通道分離與數(shù)據(jù)重組

DHFS視頻監(jiān)控通道分離與數(shù)據(jù)重組是建立在視頻文件的順序存儲(chǔ)以及視頻監(jiān)控文件存儲(chǔ)空間的按塊分配的基礎(chǔ)之上的，假設(shè)待檢驗(yàn)DHFS視頻監(jiān)控總存儲(chǔ)空間為S，起始地址為0x8F60000，將S劃分為2 MB為大小的視頻存儲(chǔ)分片空間，每塊起始地址的集合表示為A，A=｛a0，a1，…，an｝，其中元素an表示為相對(duì)于視頻存儲(chǔ)起始地址2n MB處的磁盤(pán)物理地址，那么對(duì)于通道分離的過(guò)程，最終是將A集合中的各元素按通道分配給各個(gè)重組視頻監(jiān)控?cái)?shù)據(jù)塊列表，通過(guò)算法1中給出通道分離的方法函數(shù)，其基本想法是在于在大華視頻監(jiān)控系統(tǒng)中每個(gè)塊中只能存放一個(gè)通道的視頻文件。算法1如下：

將塊首地址集合劃分成所屬通道后，接下來(lái)可以進(jìn)行按通道號(hào)的重組工作，在根據(jù)要求設(shè)定一個(gè)文件的最大容量2 LMB的同時(shí)，將每個(gè)文件對(duì)應(yīng)塊的首地址記錄在隊(duì)列中，并將各個(gè)隊(duì)列的首地址記錄在恢復(fù)文件的列表中。在重組文件時(shí)，同一通道的視頻文件在時(shí)間上可能出現(xiàn)不連續(xù)的現(xiàn)象，如果時(shí)差超過(guò)2 s，則認(rèn)為應(yīng)該為不同的視頻監(jiān)控文件，依照上述算法，易得函數(shù)ChannelTime，用于獲得數(shù)據(jù)塊內(nèi)的幀創(chuàng)建時(shí)間，依次來(lái)判別同一通道視頻監(jiān)控文件是否連續(xù)。整個(gè)通道分離與重組技術(shù)方法，見(jiàn)算法2：

值得注意的是在某些版本的DHFS文件系統(tǒng)中進(jìn)行塊內(nèi)屬性的查找時(shí)應(yīng)注意到幀類型，因?yàn)檫@時(shí)一些幀中由于幀類型的不同，表示通迅命令的含義也不同，通道號(hào)標(biāo)識(shí)位沒(méi)有任何意義，此時(shí)就需要通過(guò)綜合分析待檢數(shù)據(jù)確定哪些幀類型后面接有表示通道號(hào)的信息。

4 實(shí)驗(yàn)分析

4.1 DHFS文件系統(tǒng)按塊順序存儲(chǔ)的特性驗(yàn)證

任意選取集合A=｛a0，a1，…，an｝中元素ax，ay，az為研究對(duì)象，其中ax，ay，az表示為視頻存儲(chǔ)塊的磁盤(pán)物理地址。假定x=0，y=1，z=4。ax的起始地址為0x8F6000，ay的起始地址為0x916000，az的起始地址為0x976000，分塊的起始錄制時(shí)間與結(jié)束錄制時(shí)間的截圖，如圖5所示，塊內(nèi)并沒(méi)有跳通道，ax，ay作為在物理地址上相鄰存儲(chǔ)的數(shù)據(jù)塊，分別表示兩個(gè)不同通道的視頻文件。az作為起始地址的視頻塊中也沒(méi)有出現(xiàn)跳通道的現(xiàn)象。

4.2 DHFS文件系統(tǒng)幀格式通道與幀創(chuàng)建時(shí)間的驗(yàn)證

任意選取集合A=｛a0，a1，…，an｝中元素ax為研究對(duì)象，假定x=2其對(duì)應(yīng)底層二進(jìn)制數(shù)據(jù)與視頻截圖的對(duì)比，如圖6所示，幀標(biāo)識(shí)DHAV偏移0x06位置通道號(hào)顯示為0x02，因此通道號(hào)為3通道，與畫(huà)面中顯示一致，幀創(chuàng)建時(shí)間0x2B0D526F表示時(shí)間為2010年12月6日21時(shí)9分47秒，相對(duì)應(yīng)的視頻中記錄的起始時(shí)間為2010年12月6日21時(shí)9分49秒，相差2 s，這是由于數(shù)據(jù)傳輸過(guò)程中延時(shí)導(dǎo)致，屬于正常情況。

圖5 塊內(nèi)通道唯一性Fig.5 Channel uniqueness of data block

4.3 DHFS視頻監(jiān)控通道分離與重組算法驗(yàn)證

選取文件系統(tǒng)標(biāo)識(shí)為DHFS4.1的大華監(jiān)控錄像檢材，制作從物理起始開(kāi)始1.66 GB的磁盤(pán)鏡像文件，目的是便于數(shù)據(jù)分析，部分實(shí)驗(yàn)結(jié)果截圖，如圖7所示。實(shí)驗(yàn)結(jié)果顯示該算法按通道號(hào)正確區(qū)分了各個(gè)數(shù)據(jù)塊，并對(duì)連續(xù)時(shí)間的通道進(jìn)行了重組，共恢復(fù)出了1.52 GB的視頻文件，共80個(gè)。

大華視頻監(jiān)控系統(tǒng)作為嵌入式視頻監(jiān)控設(shè)備的代表，其文件系統(tǒng)分析對(duì)于其它類型的視頻監(jiān)控系統(tǒng)的分析有較高的借鑒意義，例如雄邁嵌入式視頻監(jiān)控系統(tǒng)也是采取類似的文件系統(tǒng)存儲(chǔ)結(jié)構(gòu)，但是由于不同品牌嵌入式硬盤(pán)錄像機(jī)的存儲(chǔ)結(jié)構(gòu)有較大區(qū)別，如存儲(chǔ)起始地址，幀頭標(biāo)志、結(jié)構(gòu)，通道、時(shí)間的表示多種多樣，因此對(duì)于視頻監(jiān)控文件的分類仍然有比較細(xì)致的工作可以進(jìn)行研究。本文設(shè)計(jì)的數(shù)據(jù)恢復(fù)思路重點(diǎn)在于通過(guò)分析視頻監(jiān)控?cái)?shù)據(jù)塊存儲(chǔ)結(jié)構(gòu)以及視頻監(jiān)控幀格式，以此對(duì)嵌入式視頻監(jiān)控?cái)?shù)據(jù)進(jìn)行通道分離與重組，進(jìn)而更加有效地進(jìn)行數(shù)據(jù)恢復(fù)和電子取證工作。

圖6 通道號(hào)與幀創(chuàng)建時(shí)間驗(yàn)證Fig.6 Verifi cation of channel number and frame-created time

圖7 部分DHFS視頻監(jiān)控通道分離與重組算法驗(yàn)證實(shí)驗(yàn)結(jié)果截圖Fig.7 Screenshot of partial verifi cation result of DHFS videosurveillance channel separation and recombination algorithm

［1］ 徐煉，張國(guó)臣. 非通用存儲(chǔ)格式數(shù)字監(jiān)控錄像的鑒定技巧.刑事技術(shù)，2010（2）：52-53.

［2］ 段成閣，張國(guó)臣，楚川紅. 漢邦監(jiān)控錄像時(shí)間信息研究. 刑事技術(shù)， 2013（3）：42-43.

［3］ 郭麗莉，康艷榮，龍?jiān)?，? 一類視頻監(jiān)控錄像數(shù)據(jù)恢復(fù)的新方法. 刑事技術(shù)， 2015（2）：170-172.

［4］ 姚波，韓杰，賈永生，等. 硬盤(pán)錄像的取證思路. 刑事技術(shù)，2010 （2）：66-67.

［5］ 姚波，賈永生，宋潤(rùn). 運(yùn)用關(guān)鍵字搜索法進(jìn)行硬盤(pán)錄像的底層恢復(fù). 刑事技術(shù)， 2012（5）：12-14.

Data Recovery from Dahua Embedded Video Surveillance System

LI Zichuan1， ZHANG Zuo2
（1. National Police University of China， Shenyang 110854， China； 2. Beijing Huaxin Data Recovery Center， Beijing 100080， China）

As surveillance video detection technology is playing an increasingly important role in almost all kinds of cases in the process of probing in recent years， the criminal suspects often use a variety of means to forge or tamper their surveillance videos. Thus， in the field of electronic evidence research， data recovery of non-universal video surveillance system is a hot issue. This paper analyzes a kind of video surveillance system with large market share. Firstly， the critical parameters were resolved， together with the obtainment of the size and arrangement of the video surveillance data block. Secondly， the video frame structure was analyzed in-depth in order to determine which channel a data block belongs to or to acquire video record starting time in the data block. Two corresponding algorithms were presented. Eventually， for the mistakenly formatted or partially covered data， the video surveillance data channel was separated and reorganized， leading to the restoration of the type of video surveillance data. Through the analysis of the data block of arbitrary selection， it confi rmed that the key parameters were read out correctly. By comparison of the frame format of the readout channel number with the actual display of the channel number in the monitoring video， the correctness of the frame format was verifi ed. Combined with actual case， the results of the two algorithms proposed in this paper were given and briefl y analyzed of their implementation，showing the effi ciency and accuracy of the technology， providing some reference for forensic work about electronic data of other non-universal video surveillance. For data search and recovery from non-universal video surveillance， the in-depth study is still necessary， in particular on data fragmentation.

digital forensics； channel separation； DHFS analytic technology

DF793.2

A

1008-3650（2015）06-0445-05

10.16467/j.1008-3650.2015.06.004

2015-05-05

東穗科技創(chuàng)新基金（2014-11）

李子川，講師，博士研究生，研究方向?yàn)殡娮游镒C。 E-mail： lizic008792@126.com

引用本文格式：李子川，張祚. 大華嵌入視頻監(jiān)控系統(tǒng)電子數(shù)據(jù)恢復(fù)技術(shù)研究. 刑事技術(shù)，2015，40（6）：445-449.