Recuperación de datos eliminados de SQLite Registros: Redux

Desde entonces, me he encontrado cada vez más bases de datos SQLite, y la cuestión de la recuperación de los registros descartados ha convertido en algo fundamental. He aprendido cómo hacerlo, y voy a compartir algunos de los secretos con ustedes ahora. Pero en primer lugar, lo que necesita saber un poco acerca de las bases de datos SQLite …

Los primeros 100 bytes de una base de datos SQLite definir y describir la base de datos. El valor de la clave para la recuperación de disco es el tamaño de la página, un 16-bit (de dos bytes) entero big endian en el byte de desplazamiento 16. Bases de datos SQLite están divididos en páginas, por lo general coincide con el sistema de archivos de tamaño de bloque subyacente. Cada página tiene un solo uso, y las que contienen los registros que son del interés de los examinadores forenses es la página de la hoja de árbol b mesa, lo cual me referiré como la TLP . El TLP se distingue de otros tipos de páginas por su primer byte, x0d o entero 13.

Así, podemos encontrar los TLP con el conocimiento de la tamaño de página de base de datos se obtiene a partir de la cabecera de la base de datos y comprobar el primer byte de cada página para x0d. En python, debería parecerse a:

Los TLPs mantener los registros, y en consecuencia, los registros (suprimido) redujo datos cuando se producen. Cada página tiene una cabecera de 8 bytes, desglosado de la siguiente manera:

El encabezado introduce algunos términos que necesitan explicación. A freeblock espacio no asignado en la siguiente página una o más registros asignados. Es creado por la caída de un registro de la tabla. Cuenta con una cabecera de cuatro bytes: los dos primeros bytes son un entero big endian de 16 bits que apunta a la siguiente freeblock (cero significa su último freeblock), y los segundos dos bytes son un entero big endian de 16 bits que representa el tamaño de la freeblock, incluyendo la cabecera.

Las células son las estructuras que contienen los registros. El se componen de una longitud de carga útil, la clave y la carga útil. La longitud y la clave, también conocido como el rowid, son números enteros de longitud variable. ¿Qué son? Me alegra que lo preguntes:

no voy a entrar en varints más lejos en este post, porque no voy a estar discutiendo la decodificación de células en este post. Baste decir que, con la longitud de carga útil, podemos definir la carga útil, que a su vez se compone de una cabecera y columnas. La cabecera es una lista de varints, el primero que describe la longitud de la cabecera, y el resto decribing los datos de columna y tipos. El encabezado de la página contiene el número de células y la compensación a la primera celda en la página.

El último valor en la cabecera, freebytes, describe el número de bytes fragmentados en la página. Bytes fragmentados son agrupaciones de bytes de tres o menos que no pueda ser reasignado a una nueva célula (que tiene un mínimo de cuatro bytes).

Inmediatamente después de la página cabecera es una matriz de punteros celular. Se compone de 16 bits enteros grandes endian de longitud igual a la cantidad de células en la página. Por lo tanto, si hay 10 células en la página, la matriz es de 20 bytes de longitud (10 agrupaciones de 2 btye).