本论文主要研究Linux操作系统中的取证方法,分析Linux系统的管理方式,包括磁盘的管理、扩展文件系统的管理和内存的管理。首先通过分析MBR和GPT等格式的磁盘得到磁盘的具体结构,提出了基于分区表的磁盘解析算法。算法的基本思路是:获得磁盘的主引导记录,提取出主分区表,分析的每一个分区表项,判断磁盘格式,并进行磁盘解析。接着分析磁盘分区中的EXT2,EXT3或者EXT4文件系统,提出了基于inode索引结点的解析算法。算法的基本思路是:在文件的父目录中获得文件的目录项,从中得到文件的inode索引结点号,计算出文件inode索引结点所在的具体地址,获得文件所有数据块的地址。最后为了实现任意地址物理内存数据的浏览,修改了编写内存驱动程序的方法。该方法的基本思路是:重新加载编译完成的内存驱动,将物理内存映射到一个自定义的设备文件中,以此获取物理内存数据。本文最大的创新点在于针对不同的EXT2,EXT3,EXT4文件系统都实现了数据恢复。通过分析在不同的扩展文件系统中数据删除前后的变化,提出一套完整的数据恢复算法:对EXT2采用扫描inode表的算法,对EXT3和EXT4采用扫描日志文件的算法。实验表明,这些算法能够解析不同格式的磁盘,获得任意扩展文件系统下的所有文件,实现任意地址的内存数据浏览,能最大可能性地实现数据恢复。