磁盤陣列取證流程與規(guī)范及相關(guān)檢驗技術(shù)探討

莫天新

磁盤陣列取證流程與規(guī)范及相關(guān)檢驗技術(shù)探討

莫天新

摘要：磁盤陣列技術(shù)(RAID技術(shù))基于其低成本、低功耗、高速的存儲效率，可靠的數(shù)據(jù)安全性能，受到了市場的廣泛青睞。經(jīng)過近幾十年的發(fā)展，新的結(jié)構(gòu)不斷提出，RAID技術(shù)愈發(fā)成熟，其被廣泛運用在計算機領(lǐng)域的存儲系統(tǒng)中。磁盤陣列的存儲信息屬于電子數(shù)據(jù)，具有電子數(shù)據(jù)的一般特征，在對其進(jìn)行調(diào)查取證時，一方面面臨著與一般證據(jù)相同的取證困難，另一方面取證的專業(yè)性和數(shù)據(jù)的易失性挑戰(zhàn)著整個調(diào)查取證及事后分析過程，因此磁盤陣列的取證過程應(yīng)當(dāng)有自己的獨特要求。

關(guān)鍵詞：磁盤陣列；RAID技術(shù)；調(diào)查取證

一、概述

(一)RAID技術(shù)介紹

Redundant Array of Inexpensive Disk縮寫為RAID，可直接翻譯為“廉價冗余磁盤陣列”，也可簡稱為“磁盤陣列”，是美國加州大學(xué)伯克利分校的D.A.Patterson教授在1988年提出的。①其基本原理可簡單地表述為，利用兩個以上的物理硬盤進(jìn)行協(xié)作，在邏輯上組成一個磁盤驅(qū)動器來使用。在讀寫功能上，每個單盤都有單獨的IDE通道，解決了傳統(tǒng)IDE通道數(shù)據(jù)擁堵的問題；在糾錯能力上，利用奇偶校驗或鏡像技術(shù)，可提供一定的冗余糾錯能力。RAID技術(shù)不僅解決了傳統(tǒng)模式下IDE通道上數(shù)據(jù)阻塞的問題，使得讀寫速度達(dá)到了普通磁盤驅(qū)動器的數(shù)倍；同時依靠數(shù)據(jù)冗余容錯技術(shù)，為數(shù)據(jù)的安全提供了可靠的保障?？傊?，現(xiàn)代RAID技術(shù)以其低成本、低消耗、高速率、高可靠性等特點得到市場的認(rèn)可和青睞。經(jīng)過數(shù)年突飛猛進(jìn)的發(fā)展，現(xiàn)代RAID技術(shù)日趨成熟，可分為RAID0到RAID6共七種基本的級別。不同級別的差異主要表現(xiàn)在數(shù)據(jù)結(jié)構(gòu)有所不同，可靠性也隨之不同。例如，RAID0磁盤陣列擁有最簡單的結(jié)構(gòu)，數(shù)據(jù)分布在不同的磁盤中，沒有容錯功能，所以他的可靠性最差，存儲陣列利用率最高；而RAID1技術(shù)則以犧牲磁盤陣列的利用率換取高度的可靠性能，它為每一個工作盤都提供了相應(yīng)的鏡像，在出現(xiàn)錯誤時，只需從鏡像盤中讀取數(shù)據(jù)即可，因此RAID1也叫鏡像陣列。RAID5不同于RAID0和RAID1兩種技術(shù)，它利用奇偶校驗的原理，為數(shù)據(jù)提供可靠性。奇偶校驗位存在于每一個“數(shù)據(jù)塊”中，而每一個條帶都有一個異或公式，當(dāng)某一工作盤出現(xiàn)無法讀取的情況時，只需利用其他工作盤的信息進(jìn)行異或運算便能計算出缺失數(shù)據(jù)。因此，RAID5技術(shù)能提供一定的容錯功能。本文也將以RAID5技術(shù)為例進(jìn)行相關(guān)的檢驗技術(shù)分析。

(二)我國相關(guān)的法律規(guī)定

對于我國來說，電子證據(jù)取證仍然是一個新興的領(lǐng)域。面對種類繁多的電子證據(jù)，如智能手機、磁盤、郵件等具體的電子取證，立法往往捉襟見肘，不能滿足取證需要。一方面，“立法層面”要求的程序統(tǒng)一如何克服“技術(shù)層面”②各有千秋的現(xiàn)實需要，這是需要解決的一個問題。電子證據(jù)種類繁多，不同的電子證據(jù)又呈現(xiàn)出自己不同的特色，對取證過程有著自己獨特的需要，如類似于各種寄存器、內(nèi)存信息等即時消失的數(shù)據(jù)，則需要上電狀態(tài)下當(dāng)場取證，而對于磁盤等電子數(shù)據(jù)則可以帶回實驗室進(jìn)行分析，除此之外，手機、電子郵件等多種形式的電子數(shù)據(jù)又帶來諸多問題。因此立法很難以一概全。另一方面，電子證據(jù)屬于新興領(lǐng)域，缺乏經(jīng)驗，缺乏人才，犯罪分子的幾個簡單的操作或者幾個簡單的代碼便能犯下彌天大罪，而立法往往具有一定的滯后性，因此相關(guān)法律法規(guī)的完善仍需要一定的積累過程。

我國立法對于電子數(shù)據(jù)取證過程的有關(guān)規(guī)定，散見于最高法、最高檢、公安部等部門的意見、通知、規(guī)定、會議紀(jì)要中，如《公安機關(guān)電子數(shù)據(jù)鑒定規(guī)則》、《計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查規(guī)則》、《人民檢察院電子證據(jù)鑒定程序規(guī)則(試行)》等等?？傮w而言，相關(guān)立法試圖在電子證據(jù)的共性上做出統(tǒng)一的規(guī)定，但是運用到某一類電子證據(jù)時卻又難以滿足需要。電子取證，應(yīng)當(dāng)根據(jù)不同的電子證據(jù)類型采取不同的措施。③

與普通磁盤存儲器相比，磁盤陣列在數(shù)據(jù)的存儲結(jié)構(gòu)及各盤的組合方式上有著自己的獨特之處，打破原有的陣列結(jié)構(gòu)，就意味著數(shù)據(jù)的丟失。但磁盤陣列本質(zhì)上又是電子數(shù)據(jù)，符合電子數(shù)據(jù)的各種特征。因此，在處理此類取證勘驗時，應(yīng)當(dāng)遵從電子數(shù)據(jù)的一般規(guī)定，同時結(jié)合磁盤陣列的特點作出相應(yīng)的變更。下文流程與規(guī)范等參考了我國現(xiàn)有的電子證據(jù)規(guī)定并在此基礎(chǔ)上進(jìn)行了一定的總結(jié)和擴充。

二、取證流程與規(guī)范概述

(一)取證的原則和規(guī)范

眾所周知，電子證據(jù)的最大特點就是易失性，對于磁盤技術(shù)來說也具有相同的特征。一方面容易受到物理因素的影響，水電磁熱等物理現(xiàn)象都可能使硬盤數(shù)據(jù)受損。另一方面，運行狀態(tài)下簡單的操作就可能讀寫磁盤，造成數(shù)據(jù)的外泄和覆蓋。因此，對磁盤調(diào)查取證應(yīng)當(dāng)遵循相應(yīng)的原則。

1.合法取證原則

合法取證原則包括取證主體合法及程序合法?；诖疟P陣列的專業(yè)性，取證應(yīng)當(dāng)在相關(guān)技術(shù)人員的參與下進(jìn)行。在程序上，不僅要滿足調(diào)查取證的一般性規(guī)定，在證據(jù)固定與保存，記錄規(guī)則，保密規(guī)則等方面也應(yīng)當(dāng)根據(jù)磁盤陣列的特殊性做特殊的處理。

2.及時取證原則

存儲的世界瞬息萬變，簡單的電信號傳輸就有可能瞬間改變整個磁盤的存儲內(nèi)容，專業(yè)領(lǐng)域的即時性、實時性，也對調(diào)查取證提出了要求，因此磁盤陣列的取證應(yīng)當(dāng)具有一定的實效性。

3.記錄原則

對磁盤的調(diào)查取證，應(yīng)當(dāng)做相應(yīng)的記錄。包括但不限于調(diào)查取證時間、地點和主管人員，固定的證據(jù)極其屬性，對磁盤進(jìn)行了哪些操作等等。記錄內(nèi)容要能夠達(dá)到還原整個取證過程的程度。

4.無損原則，也稱無損取證原則④

無損原則包括兩個方面，第一，對物理介質(zhì)的無損。磁盤陣列的物理狀況應(yīng)當(dāng)適當(dāng)保存，有防水、防塵、防電、防磁等特殊處理，使用的過程中應(yīng)當(dāng)輕拿輕放，有一套管理制度和體系；第二，磁盤數(shù)據(jù)的無損。首先對于現(xiàn)場取證的，應(yīng)當(dāng)注意防范措施，預(yù)防突然斷電、病毒感染等緊急情況，同時記錄磁盤陣列的運行狀況；其次，電子數(shù)據(jù)具有隱秘性和可挽救性，因此需要全面收集磁盤信息，這里的“全面收集”不僅僅指對電子數(shù)據(jù)進(jìn)行全面收集，還包括收集電子數(shù)據(jù)的配套信息，另外需要進(jìn)行后續(xù)實驗室分析的，應(yīng)首先制作磁盤鏡像，盡量避免在原盤上直接操作，特別是寫操作。

(二)取證的主體

磁盤陣列的調(diào)查取證具有較強的專業(yè)性，涉及較多的計算機專業(yè)技能，因此調(diào)查取證的主體應(yīng)當(dāng)適格，以具備相應(yīng)的知識儲備的專門人員為主，包括計算機專家和網(wǎng)絡(luò)警察。此外，與案件相關(guān)的人員也可以在必要的時候取證，但是他們的取證范圍僅限于對專業(yè)性和程序性要求都不高的地方。

1.計算機專家

首先這是強技術(shù)性取證的必然要求。普通人不具有相關(guān)的技術(shù)知識，當(dāng)然不具有取證能力。其次，計算機技術(shù)迅猛發(fā)展，新證據(jù)層出不窮，專業(yè)的技術(shù)人員可以時刻保持對技術(shù)的新知新解。

2.網(wǎng)絡(luò)警察

他們不一定是計算機科班出身，但是一定受過相關(guān)的專業(yè)訓(xùn)練，了解尋常的電子證據(jù)特點，能夠快速現(xiàn)場反應(yīng)。同時，網(wǎng)絡(luò)類犯罪，信息瞬息萬變，信息傳播快，作案痕跡消失得也快，犯罪證據(jù)散見于網(wǎng)絡(luò)各處，造成偵查的不便。網(wǎng)絡(luò)警察掌握流行的網(wǎng)絡(luò)技術(shù)，能在犯罪發(fā)生后進(jìn)行迅速反應(yīng)，定位證據(jù)。

3.其他人員

雖然計算機專家和網(wǎng)絡(luò)警察是調(diào)查取證的主力，但是一方面他們具有一定的滯后性，需要經(jīng)過案件的響應(yīng)階段，才能接觸案件。而與案件相關(guān)的人員則可能親身經(jīng)歷事件，他們可以在犯罪發(fā)生后，有機會在最佳的取證時間固定證據(jù)，對技術(shù)人員的偵查具有一定的補充作用。另一方面，由于他們與案件有著或多或少的關(guān)聯(lián)，對自身利益的關(guān)切使得他們更容易找到電子證據(jù)，這與利用技術(shù)進(jìn)行“漫無目的”的網(wǎng)絡(luò)大搜索相比，具有更高的效率。

(三)磁盤陣列取證的基本流程

《公安機關(guān)執(zhí)法細(xì)則》對于計算機類犯罪的現(xiàn)場勘驗規(guī)定了“保護(hù)現(xiàn)場”“收集證據(jù)”“提取、固定易丟失數(shù)據(jù)”“在線分析”“提取、固定證物”五個過程，但在實際的取證過程中，結(jié)合調(diào)查的需要及磁盤陣列的實際情況，磁盤陣列的取證過程應(yīng)當(dāng)有著不同的要求，通常應(yīng)包含以下幾個方面：

1.現(xiàn)場處置

在磁盤類取證的案件中，第一到達(dá)現(xiàn)場的處置人員應(yīng)當(dāng)具備初步的電子取證和知識，如設(shè)備的保護(hù)及固定?，F(xiàn)場處置應(yīng)當(dāng)做好隔離與防護(hù)工作。首先確保人機物三者的隔離，防止對磁盤的更改，控制電力設(shè)施，預(yù)防斷電影響，有必要進(jìn)行信號屏蔽的要做好屏蔽工作，尤其應(yīng)當(dāng)注意防止通過終端程序讀寫磁盤。其次保護(hù)好現(xiàn)場設(shè)備，防止人為毀壞等情況。

2.證據(jù)識別

在該過程中，調(diào)查人員應(yīng)根據(jù)證據(jù)的相關(guān)性原則，對涉事的磁盤設(shè)備進(jìn)行初步的證據(jù)識別，確認(rèn)哪些與所涉案件有關(guān)，哪些無關(guān)，制定出相應(yīng)的調(diào)查計劃，形成調(diào)查取證的報告。

3.證據(jù)固定

證據(jù)固定的方式有很多種，如打印、復(fù)制、錄音錄像拍照等。在存儲磁盤正常的情況下，對于文檔類文件，一般應(yīng)當(dāng)打印，以書證的形式進(jìn)行固定。對于不能打印的文件，應(yīng)當(dāng)進(jìn)行復(fù)制，復(fù)制在專用的U盤、光盤、軟盤等存儲介質(zhì)中。需要指出的是，為避免電子證據(jù)在固定后遭到修改，在進(jìn)行復(fù)制時，應(yīng)當(dāng)優(yōu)先選擇未經(jīng)使用的只讀性存儲介質(zhì)。對于上訴文檔文件進(jìn)行調(diào)查取證的，應(yīng)當(dāng)記錄文件的相關(guān)屬性，如存儲目錄、存儲時間等。如果陣列磁盤出現(xiàn)問題，一時無法現(xiàn)場固定，可以對設(shè)備進(jìn)行封存，進(jìn)行實驗室分析。

4.證據(jù)的記錄和封存

在調(diào)查取證時，應(yīng)當(dāng)對調(diào)查的過程作記錄。電子證據(jù)要附有提取、復(fù)制過程的有關(guān)文字說明，注明提取復(fù)制時的時間、地點，電子數(shù)據(jù)的規(guī)格、類別、文件格式，提取電子數(shù)據(jù)的提取人、持有人和保管人。相對人應(yīng)當(dāng)簽字確認(rèn)，相對人不簽字的，應(yīng)當(dāng)注明。取證現(xiàn)場要有見證人，符合調(diào)查取證的相關(guān)法律規(guī)定。需要封存的，應(yīng)當(dāng)依照法律的相關(guān)規(guī)定進(jìn)行封存，以供將來分析。

5.實驗室分析

對于帶回實驗室的存儲磁盤，應(yīng)當(dāng)根據(jù)設(shè)備的具體情況進(jìn)行分析。首先，如果磁盤能夠正常的讀取，應(yīng)當(dāng)作出磁盤鏡像，然后通過磁盤鏡像進(jìn)行相關(guān)證據(jù)的分析。其次，磁盤無法正常讀取時，如果所涉問題能夠通過容錯技術(shù)解決，如RAID5類型有一個磁盤損壞，可用新磁盤進(jìn)行替換，通過冗余校驗技術(shù)，讀出完整的磁盤數(shù)據(jù)；如果所涉問題超過了容錯范圍，則需要進(jìn)行相關(guān)數(shù)據(jù)恢復(fù)技術(shù)，盡可能地恢復(fù)潛在數(shù)據(jù)。

6.出具報告

將檢驗分析的結(jié)果形成報告并返還原被檢驗物品。

三、相關(guān)的檢驗技術(shù)——磁盤陣列技術(shù)的實驗室分析

此處以RAID5為例，對磁盤陣列技術(shù)的實驗室分析，進(jìn)行簡單的探討。

(一)RAID5的基本原理

與其他級別的結(jié)構(gòu)不同，RAID5采用的是塊交錯式奇偶校驗的模式(如圖1)，校驗位均勻地分布式地排列在各個塊之中，其數(shù)據(jù)大小相當(dāng)于一個“塊”那么大小。

圖1　RAID5數(shù)據(jù)分布圖⑤

以圖1為例，磁盤1-4在物理上是相互獨立的磁盤，他們共同組成磁盤陣列，在邏輯上屬于一個磁盤。讀寫數(shù)據(jù)時，處理器可同時訪問磁盤1-4，因此該磁盤陣列理論上讀寫速度是普通磁盤的4倍。其中，Pi是校驗值，Di是數(shù)據(jù)部分，每個盤塊都有著相同的大小。他們之間的關(guān)系，可用如下的公式進(jìn)行表示：

P1=D1+D2+D3

P2=D4+D5+D6

P3=D7+D8+D9

P4=D10+D11+D12

以此類推，其中“+”為異或運算?；诖嗽?，每當(dāng)磁盤1-4中有一塊磁盤物理受損，可根據(jù)上訴公式，進(jìn)行異或運算的逆運算，從而求出缺失的數(shù)據(jù)。例如，假設(shè)磁盤1無法讀取，D1數(shù)據(jù)丟失，而D2、D3、P1數(shù)據(jù)完好無損，則D1=D2+D3+P1。因此，RAID5具有一定的容錯能力。

(二)實驗室分析

在磁盤陣列完好無損的情況下，僅需按照常規(guī)手段調(diào)查取證即可，此處不再討論。若磁盤陣列受損，則需要盡可能地恢復(fù)原有數(shù)據(jù)，以達(dá)到取證之目的。通常的數(shù)據(jù)恢復(fù)包括硬件恢復(fù)及軟件恢復(fù)。如圖2。

圖2　磁盤陣列數(shù)據(jù)恢復(fù)方式結(jié)構(gòu)圖⑥

1.硬件代替

首先，當(dāng)磁盤元器件出現(xiàn)問題時，可用本方法進(jìn)行，如磁頭順壞、電路板芯片燒壞、閃存控制器芯片燒壞等等。若是元器件的問題，可以利用同型號的硬件代替原毀壞的元器件，以達(dá)到重新讀取磁盤的目的。該方法優(yōu)點是成本較低，一般市場上也容易找到相同型號的元器件，缺點是操作略微復(fù)雜。

其次，對于RAID5磁盤陣列而言，如果是一個單盤出現(xiàn)問題，在容錯能力之內(nèi)，該情況不影響正常的數(shù)據(jù)讀取，可直接更換問題磁盤，進(jìn)行正常的證據(jù)固定即可。對于其他級別的磁盤陣列而言，如果在容錯范圍之內(nèi)，也可用此法直接替換問題磁盤即可。

2.固件修復(fù)

磁盤在出廠時，往往會攜帶固話與硬盤和盤片上的伺服軟件，通常包括：引導(dǎo)命令、控制語句、執(zhí)行語句、硬盤型號容量、大小、缺陷表、磁頭和盤片電磁性能參數(shù)表等信息。⑦這些信息根據(jù)不同的磁盤情況，通常保存在電路板的芯片或者負(fù)磁道中。如果這些信息出現(xiàn)錯誤，通常導(dǎo)致磁盤無法讀取，在這些固件進(jìn)行修復(fù)時，往往會丟失一些重要的證據(jù)，因此在對該類問題進(jìn)行修復(fù)之前需要采取必要的手段對原始固件和負(fù)磁道信息保存固定。

3.盤片讀取

在磁盤損壞嚴(yán)重的情況下，若數(shù)據(jù)仍有重大的證據(jù)價值，可在適當(dāng)?shù)沫h(huán)境中直接對盤片進(jìn)行掃描。掃描后的盤片信息記錄在專門的計算機中，然后利用相應(yīng)的軟件進(jìn)行數(shù)據(jù)分析。

需要指出的是，對于已經(jīng)被覆蓋的數(shù)據(jù)，仍然具有一定的恢復(fù)可能性。簡單地說，通常我們認(rèn)為如果磁盤某處被寫“1”，則該處的磁場強度應(yīng)該是1，但事實上，如果將“1”寫在原來為“0”的地方，則該處的磁場強度通常小于1。同理其他情況也會有同樣的磁場表現(xiàn)。因此，利用這一特點，借用“深層信號還原技術(shù)”⑦，用射線照射某處晶體，通過分析各種光譜現(xiàn)象，能夠在一定的范圍內(nèi)尋找出原來數(shù)據(jù)的殘影。此種方法通常造價較高，技術(shù)復(fù)雜，常用于軍事領(lǐng)域。

4.軟件恢復(fù)

通常情況下，可以借助軟件恢復(fù)的方式將遭受破壞或者誤操作導(dǎo)致丟失的數(shù)據(jù)找回來。在Windows、Unix等系統(tǒng)中軟件恢復(fù)可分為系統(tǒng)級恢復(fù)和文件級恢復(fù)。⑦對于磁盤陣列而言，數(shù)據(jù)通常按照一定的順序(如RAID5按照D1、D2、D3、D4……的順序)排列在不同的單盤之中，因此，如果能將磁盤陣列中的數(shù)據(jù)按照原順序(如D1、D2、D3、D4……)進(jìn)行數(shù)據(jù)重組，就能得到完整的磁盤數(shù)據(jù)。之后再按照系統(tǒng)級恢復(fù)和文件級恢復(fù)的方法就能找到重要的證據(jù)。這一過程通常需要以下幾步：

首先，獲取鏡像。根據(jù)無損原則，對磁盤陣列的實驗室分析應(yīng)盡量避免對原盤操作，需通過鏡像技術(shù)，將原磁盤的能容復(fù)制到新的磁盤副本中，然后對該副本進(jìn)行分析。這一過程包括：a.從陣列盤中逐個取出單盤；b.檢查硬盤跳線，設(shè)為主盤c.將證據(jù)盤通過只讀接口連接到取證計算機；d.借用相應(yīng)的軟件，獲得單盤鏡像。市場上的很多鏡像軟件能夠達(dá)到次目的，Linux/Unix環(huán)境下可使用dd，Windows環(huán)境下可使用winhex，diskexplorer等等，可視化操作使得這一過程相對簡單。

其次，數(shù)據(jù)重組。數(shù)據(jù)重組是磁盤陣列數(shù)據(jù)恢復(fù)的核心步驟，如果能夠成功重組，便有可能成功獲取磁盤中的原始數(shù)據(jù)。以RAID5陣列為例，對其進(jìn)行重組通常需要對四個因素進(jìn)行判斷⑧：第一，每個條帶的大小，即D1、D2等數(shù)據(jù)塊的大??；第二，數(shù)據(jù)塊的排列順序；第三，校驗快的循環(huán)方向；第四，左右循環(huán)的判斷，同步異步的判斷。值得指出的是，上述四個因素不要求每一個單盤都能完好無損的讀取。在成功判斷出上述四種因素之后，便可借用相應(yīng)的軟件對原數(shù)據(jù)進(jìn)行重組，得出正確的全盤數(shù)據(jù)(如D1、D2、D3、D4……)。在不能完全重組的情況下，通常進(jìn)行補零或者磁盤缺失處理，以不完整的方式盡量重組原盤數(shù)據(jù)。數(shù)據(jù)重組是數(shù)據(jù)恢復(fù)的重要一步，但是該步過程并不復(fù)雜。

第三，傳統(tǒng)的數(shù)據(jù)恢復(fù)。系統(tǒng)級恢復(fù)包括對分區(qū)表及文件系統(tǒng)信息的修復(fù)。文件級修復(fù)通?？煞譃榛谖募夸浀臄?shù)據(jù)恢復(fù)、基于文件數(shù)據(jù)特征的數(shù)據(jù)恢復(fù)和殘缺數(shù)據(jù)的數(shù)據(jù)恢復(fù)。對于原磁盤陣列進(jìn)行重組后的數(shù)據(jù)，便可按照傳統(tǒng)的數(shù)據(jù)恢復(fù)方式進(jìn)行分析。

四、總結(jié)

不同的RAID級別有著不同的數(shù)據(jù)結(jié)構(gòu)，也有著不同的容錯能力，因此在進(jìn)行調(diào)查取證、實驗室分析時，應(yīng)當(dāng)盡可能多地了解磁盤陣列的信息，了解他們的數(shù)據(jù)結(jié)構(gòu)，用不同的方法獲取電子證據(jù)信息。

注釋：

①⑤戴士劍，劉品新.磁盤陣列的電子物證檢驗研究[J].信息網(wǎng)安全，2011，(1).

②④劉品新.電子取證的法律規(guī)則[M].北京：中國法制出版社，2010年版，第7頁.

③戴瑩.刑事偵查電子取證研究[M].北京：中國政法大學(xué)出版社，2013年版，第37頁.

⑥沈樹強.電子證據(jù)鑒定視角下的數(shù)據(jù)恢復(fù)問題探究[D].北京：中國政法大學(xué)，2010.

⑦楊永川，顧益軍，張培晶等.計算機取證[M].北京：高等教育出版社，2008版，第90頁.

⑧李清.RAID5磁盤陣列數(shù)據(jù)恢復(fù)[J].中國新通信，2013，(10)：4-5.

(責(zé)任編校：孫詠梅，裴媛慧)

(作者單位：中國政法大學(xué) 證據(jù)科學(xué)研究院)