移動終端的損壞圓片恢復技術.pdf

1、移動終端移動終端的的損損壞圖片恢複技術壞圖片恢複技術鄒錦沛香港大學計算機科學系動機越來越多的犯罪案件包含JPG文件例如，嫌疑人強迫女孩拍一些裸照x事后他被捕了，但是在他被捕之前，他已經刪除了證據（jpg）!問題:我們如何從存儲介質中刪除的片段重建文件？備注:當然，有其它的應用背景相同的文件可能會分部放在硬盤中（適用于大型文件）例如，S1S2 S10 S11.S30 S31-硬盤分為扇區(例如，每個扇區1024比特)-存儲文件的位置被標記在目錄中-例如，File 1:S1-S10-S11-S31但是，一旦文件被刪除，該鏈接信息就會從目錄中刪除!=給定一個扇區，很難辨別它屬于哪個文件。XXXS1S

2、2 S10 S11.S30 S31例如，File 1:S1-S30 -S11File 2:S31-S2-S10請注意，屬于同一文件的扇區在硬盤中可能不是連續的思考一個問題:如果所有這些鏈接都丟失，您還可以重建文件嗎?也就是說，給定S1,S2,S10,S11,S30,S31，除此之外沒有其它信息,我們能做什么?XXXX問題描述假設我們從硬盤中識別出屬于jpg文件的一些扇區(但是順序未知)A3A4.A1A2.A5A6A7B3.frag2frag3frag1.B2B1我們可以重構(重排扇區)jpg圖片嗎?此處我們假設:(1)所有扇區仍然存在(還沒有被覆蓋)*;(2)目錄信息已經丟失.*可以輕松找到文

3、件頭已有方法的限制一個最簡單的解決方案：暴力方法-檢查扇區的所有排列-查看每個排列的文件N個扇區(N可以是上千)=N!的排列需要考慮:太慢而且不實際它是如何工作的?已有的最佳方案之一:Adroit Photo Forensics(APF)2013http:/digital- Photo Forensic(APF)工具的方法以文件頭開始計算下一個扇區的相似度連續不連續=找到一個分段點與剩余扇區對齊以找到最佳匹配連續?基于閾值，概率假設等一個例子:假設是文件頭S1S2 S3S4.S5S6(1)解壓S1，然后S2，檢查S1和S2之間的相似性:假設閾值，然后連接S1，S2。(2)由于下一個不是連續的，

4、我們發現了一個分段點?，F在，嘗試解壓縮S3，S4，S5，S6，計算（S2，S3）（S2，S4）（S2，S5）（S2，S6）之間的相似度.選擇最高分（例如（S2，S5），然后連接它們。分段點(3)檢查S5和S6之間的相似度，但假設它小于閾值=分段點。嘗試解壓S3，S4，計算相似度（S5，S3），（S5，S4），例如(S5,S3)更高,就連接它們.分段點原始原始JPEG文件文件:輸入入:隨機隨機順序的序的8個分段個分段APF恢復的恢復的結果果:我們發現如果分段數量更多(3)，那么啟發式表現不佳。分段JPEG文件(Garfinkel 2001)JPEG文件%平均大小31,134字節文件數量108,5

5、39有兩個分段的文件數量2,9992.76%有三個分段的文件數量4000.36%大于三個分段的文件數量13,97312.87%分段文件的總數17,37216%突出顯示其局限性SoD(差異之和，Sum of Difference)R1R0(1)不是很好的相似度度量RGB 值:R0(0,0,0);R1(30,30,30);R2(0,0,90)注意：很明顯，R0更像R1，然后是R2，但是SoD不能區分它們!(2)碎片點檢測問題使用最佳匹配候選可能并不總是給出正確答案。另一個常用的度量:歐幾里得距離(ED)ED=1/n(xi yi)2我們也會展示這個度量并不總是好的。注意：我們不是說ED和SoD總是壞

6、的度量。我們改進的方案我們改進的方案15SoD和ED都集中在邊界像素之間的絕對差異。對于具有不同顏色（如樹葉）的區域，可能會被錯誤地識別為碎片點貢獻 1:我們提出了解決這個問題的改進措施。+SoDx ED如果這里出現碎片，可能無法連接這些扇區!然而，附近的行顯示相似的ED/SoD值0 55將其切成4個分段APF歐幾里德距離的一致性(CED)CED=|EDboundary EDnearby|邊界下一個扇區0 10貢獻2:我們還擴大候選的發現啟發式而不是僅僅找到“下一個”最佳候選，我們保持m個最好的下一個候選，對于這些m個候選中的每一個，我們找到下一個候選，然后使用這個向前看的步驟重新確認這些m中

7、的哪一個是正確的。一個粗略的例子：假設S1是文件頭S1S2 S3S4.S5S6(1)解壓S1，然后S2，檢查S1和S2之間的相似度(我們使用CED):假設閾值，連接S1，S2。(2)然后，我們發現了一個分段點?，F在，嘗試解壓S3，S4，S5，S6，計算（S2，S3）（S2，S4）（S2，S5）（S2，S6）之間的相似度。選擇最高分（例如（S2，S5），我們還沒有連接他們，但考慮最高的分數。例如m=2(可能是S5,S3)分段點(3)考慮S5和S3的下一個扇區，例如(S2,S5,S6)vs(S2,S3,S4):（S2，S3，S4）的總體得分較高，然后將S2與S3連接。實驗實驗(1)CED vs S

8、oD and ED-圖像從數碼相機下載/拍攝。-CED，SoD，ED用于連接相鄰行。-一個錯誤匹配(FM)=如果兩個相鄰的行沒有最高相似性度量。.CED EDSoD100(3648x2048)圖像1,829115,142 128,8050.89%56.22%62.89%59100100#FMFM rate#files w FM(2)Carving 性能187張(87張順序圖片+100張碎片圖片)圖片由數碼相機隨機生成文件數我們的方法APF878787797865181711212110Sequential2 fragments3 fragments4 fragments6 fragments對

9、于碎片文件，我們的方法可以恢復97個文件，而APF可以恢復78個文件。我們分析了三個失敗案例：2個是由于一個小片段（對于CED不夠大），另一個是由于圖片顏色的劇烈變化。結論結論*我們提出一個新的jpg文件carving算法*關鍵思想包括新的相似性度量（CED）和分段點匹配的首m個最佳匹配。*在我們的實驗中，我們的方法的性能顯示優于APF。CED EDSoD(a)1000個低分辨率（1024x768）圖像132,529381,112 491,77517.26%49.62%64.03%95410001000錯誤匹配數錯誤匹配率有錯誤匹配的文件數*未解決的問題(b)仍然不能處理一些“困難”的情況，例如顏色非常不同/非常相似的顏色。謝謝