監控視頻恢復技術研究

◆夏 榮 吳 彬 袁文勤

監控視頻恢復技術研究

◆夏 榮 吳 彬 袁文勤

（上海市公安局 上海 200025）

在公安取證工作中，一項重要的工作就是在嫌疑電子存儲介質中挖掘有價值的線索和證據數據，隨著監控視頻錄像在案件偵破中的作用越來越大，視頻錄像的恢復提取一直是當前案件偵破中難點和瓶頸。視頻監控被無意和惡意破壞和刪除的情況下，如何提高視頻恢復的成功率和恢復的速度是當前電子數據取證行業共同面臨的問題。本文就視頻恢復的方法和技巧、以及用Winhex的腳本編程工具進行高效視頻恢復取證的方法進行闡述。

計算機取證；視頻；數據恢復

0 前言

監控視頻是案件偵破中的重要證據，視頻圖像偵查已經成為公安機關辦案新方法和手段。監控視頻作為《刑訴法》規定的八大證據之一，地位非常重要。目前在視頻監控被無意、惡意破壞和刪除的情況下，如何提高視頻恢復的成功率和恢復的速度是當前電子數據取證工作面臨的問題，該技術的突破可以使案件的偵破率和偵破速度大大提高，有效地提高公安工作核心戰斗力。

1 監控視頻研究的現狀

目前我國監控視頻的狀態:視頻監控系統的沒有統一的標準，涉及的產品種類繁多，主要表現在以下幾方面:

（1）硬盤錄像機和視頻存儲服務器的品牌類型種類多。

（2）視頻格式類型種類多:硬盤錄像機的所有操作系統文件格式種類多，主要嵌入式和通用式。嵌入式用的主要是linux操作系統，通用式用的是普通windows操作系統。嵌入式硬盤錄像機用的是linux文件系統或自定義的視頻流格式，也有用標準的Fat32文件系統；通用式錄像機（卡）用的是FAT格式或NTFS格式。

這些種類繁多的硬盤錄像機類型和視頻格式造成視頻恢復程序通用性難度的加大，幾乎每種類型和視頻格式都需要單獨的程序來實現視頻恢復。但是大部分視頻格式都是標準H.264格式的變種，每個廠家或產品系列在H.264格式的基礎上加了一些特殊的格式或標志。這就為我們用一些如Winhex等軟件進行視頻恢復提供了可能性。

通過研究總結分析，我們把需要恢復的視頻種類歸類如下:

（1）現有視頻:就是現有的硬盤錄像機上能看到、但在離開錄像機環境后不能看到的視頻；

（2）刪除的視頻:就是通過硬盤錄像機本身自帶的工具刪除掉了某個時間段或某個通道的視頻；

（3）丟失的視頻:就是硬盤錄像機硬盤上的視頻索引被破壞，導致用硬盤錄像機本身的工具環境下也看不到的視頻；

（4）視頻的碎片:因硬盤的容量有限，一般硬盤錄像都有循環周期，硬盤容量越大循環周期越長，在循環周期之外的視頻一般都本循環周期內的視頻覆蓋了。但是由于硬盤對數據和文件管理是用數據塊（扇區或簇），使得在循環周期之外的視頻可能還會殘留碎片在循環周期之內的視頻存儲空間中，這為我們恢復覆蓋后的視頻提供了可能。

而導致視頻需要恢復的原因不外乎以下幾種:

（1）嵌入式錄像機的硬盤被自帶的環境工具格式化；

（2）硬盤錄像機的硬盤被windows等操作格式化；

（3）硬盤錄像機的視頻被自帶的環境工具刪除；

（4）需要恢復的視頻在循環周期之外；

（5）視頻從硬盤錄像機導出后保存在Windows等系統中后被刪除或系統硬盤被格式化。

按照上述歸類分析，此次案件中的視頻恢復屬于典型的丟失視頻的待恢復情況。錄像機硬盤被格式化一次后，又重新開始錄制了2個小時的錄像，里面的視頻索引和目錄就不但被刪除了，而且被新的視頻索引和目錄給覆蓋了。但是原來的視頻數據還在，只不過被覆蓋了2個小時新的視頻數據。我們可以利用這種視頻的特征來把需要的時間段和通道的視頻幀串起來，形成連續的完整的視頻文件。

（1）視頻恢復的幾個關鍵要素；

（2）視頻頭標志；

（3）幀頭標識；

（4）幀長度；

（5）幀類別（有些監控錄像還能記錄聲音）；

（6）通道標志；

（7）幀時間。

2 監控視頻恢復技術研究實例

某案件中獲取嵌入式錄像機，通過了解和分析得知該硬盤錄像機在2013-6-31日9點左右用錄像機自帶硬盤初始化功能對錄像機硬盤格式化過兩次，格式化后又開機錄制了一小時左右的視頻。案件需要恢復2013-6-13日15:30-20:30期間5小時的視頻。我們試圖通過對這個案例的研究來了解視頻恢復的方法和技巧。

我們采用普通常規的軟件硬件取證設備去試圖打開該硬盤，看不到任何的文件系統和分區，而且操作系統都會提示硬盤需要初始化，采用常規的數據恢復軟件掃描硬盤也找不到任何的文件系統和文件。

2.1 監控視頻存儲格式

通過提取分析標準的可播放視頻片斷發現，該錄像機的視頻文件有如下圖所示的十六進制內容。格式的特點，就是視頻文件以“DALI240.R”開頭標志，后面還有通道標志，如圖1所示。

圖1 視頻文件

其次分析視頻幀的內容發現，視頻幀的格式如下圖:

圖2 視頻幀的格式

在視頻文件頭偏移0x100處有“55AAAA55”作為視頻幀的頭標識。

圖3 幀偏移

在幀開始偏移0xC位置的”05”代表該幀視頻是6通道。

圖4 該視頻幀的時間

在幀開始偏移0xD位置的”19 9D 10 27”代表該視頻幀的時間（十六進制表示的秒數），具體是2000年1月1日 00:00:00開始加上這個秒數后轉換的日期時間。

上圖中的“00 00 0E 70”是上一幀的長度，“00 00 01 40”是本幀的長度。

“05 00 03 00”中的”03”是位置是幀類型標志:

幀類型 標志內容I幀 0x00 P幀 0x01 B幀 0x02音頻幀 0x03

2.2 監控視頻恢復方法

通過本次研究，掌握了該嵌入式視頻監控錄像機監控視頻碎片的重組和通道分離技術。視頻恢復流程中的關鍵在于讀取視頻監控錄像機硬盤鏡像文件時判斷當前數據是否是幀頭，掃描數據塊判定幀的完整性。在掃描得到數據塊后根據其幀存儲格式提取各通道的視頻分別按通道生成新的視頻文件。

概要流程圖如下:

圖5 概要流程

重組視頻幀的步驟為:

（1）掃描整個存儲空間，查找55AAAA55標志的數據特征，然后判斷后續第9字節的數字是否是需要恢復的通道，如果是則進一步解析幀頭信息；

（2）分析當前幀長度和上一幀幀長度；

（3）分析當前幀的時間；

（4）按幀時間順序重組幀。

該監控視頻恢復技術是基于Winhex腳本實現的。Winhex腳本是運行于winhex的一種腳本語言，用于數據的批量搜索、定位、修改[3]。

用winhex腳本實現對9通道的幀合并成視頻，腳本如下:

//9通道視頻錄像恢復

3 提高視頻恢復效率的解決方案

目前市場上常見的視頻監控錄像機的品牌眾多，生產廠商不公開自有產品的技術細節，給監控視頻恢復帶來較大的技術難度，要提高視頻恢復效率要注意以下幾點:

3.1 提高監控視頻恢復的成功率

（1）正確的操作和處理方式。當發現涉案的視頻監控錄像機時要在第一時間停止繼續錄制視頻并斷電、拆卸錄像機硬盤，在拆卸硬盤的過程中避免碰撞。錄像機硬盤要用專用的硬盤保護盒或泡沫海綿封裝，硬盤在裝入視頻恢復專用設備之前不能連接到非專用設備如:普通的計算機、服務器等設備，避免造成二次破壞。

（2）及時停止視頻監控錄像機。需要恢復的監控視頻時間點距離視頻監控錄像機停止錄制的時間點越短恢復的成功率越高。當需要恢復的視頻已經超過了錄像的循環周期這將增加涉案監控視頻恢復的難度。

（3）需關注監控視頻恢復設備對各品牌視頻監控錄像機及監控視頻格式的支持程度。監控視頻恢復設備支持的視頻監控錄像機品牌及監控視頻格式越多，監控視頻恢復的成功率越大。

（4）注意保護視頻監控錄像機硬盤數據的完整性。一是只有在確認硬盤無任何硬件類故障的情況下才能進行監控視頻恢復；二是禁止向出現數據丟失的硬盤中寫入任何數據,包括系統卷標信息、回收站、縮略圖緩存、操作系統的虛擬內存等；三是禁止對出現數據丟失的硬盤執行“磁盤掃描修復”與“碎片整理”操作。

3.2 提高監控視頻恢復的速度

（1）提高監控視頻恢復設備的硬件性能。硬件性能（主要是讀寫性能和運算性能）越高恢復速度越快；監控視頻恢復需要不停的讀寫硬盤以及通過運算來判斷監控視頻的時間和重組視頻，因此硬件性能決定了視頻恢復的速度。

（2）使用完善的監控視頻恢復算法。好的監控視頻恢復算法能成倍地提高視頻恢復的速度。

（3）關注視頻恢復軟件程序語言的執行效率。依賴于磁盤編輯軟件的腳本語言執行效率要低于高級語言或匯編語言的執行效率[2]。

4 結束語

對于監控視頻的恢復必須全面分析監控視頻存儲的格式及視頻幀格式，掌握視頻幀中用于標識別幀類型、幀大小、幀所在通道號以及當前幀對應時間的位置和字節數。通過識別視幀頭特征來確定視頻幀，再通過幀類型、幀大小、幀所在通道號以及當前幀對應的時間來按通道或按時間重組幀，最終形成可以連續播放的視頻流。

[1]張越今.網絡安全與計算機犯罪勘查技術學.清華大學出版社，2003.

[2]羅文華，湯艷君.電子物證技術基礎.清華大學出版社，2014.

[3]吳琪.基于Winhex的數據恢復技術在計算機取證中的應用.凈月學刊，2014.