SQLite3：删除记录而不用空字节覆盖它

Question

根据这个解释[1]如何从 SQLite 数据库中恢复已删除的记录，删除记录时会发生两件事：包含已删除记录的区域被添加到空闲列表（作为free block)，内容区的"header"被覆盖。

内容本身不会（或只有几个字节）被覆盖，例如通过使用十六进制编辑器打开数据库文件，您仍然可以看到部分已删除的记录。

所以要检查这是否正确，这里有一个最小的例子：

sqlite3 example.db

sqlite> CREATE TABLE 'test'(aColumn VARCHAR(25));
sqlite> INSERT INTO test VALUES('AAAAAAAAAA');
sqlite> INSERT INTO test VALUES('BBBBBBBBBB');
sqlite> INSERT INTO test VALUES('CCCCCCCCCC');
sqlite> DELETE FROM test WHERE aColumn = 'BBBBBBBBBB';

我现在期待的是——用十六进制编辑器打开文件——在CCCC…和AAAA…之间还有一些B（但是B之前的一些字节或者前几个B应该被覆盖了） . 真正发生的是 Bs 的整个区域都被空字节覆盖了。

大型数据库也会出现这种情况。内容区域总是用空字节清理，因此无法恢复任何内容。

我必须使用任何选项或标志才能获得博文中显示的结果吗？

我需要以这种方式创建我的 SQLite 数据库，以便能够使用取证工具恢复已删除的记录（或其中的一部分）。

[1]http://sandersonforensics.com/forum/content.php?222-Recovering-deleted-records-from-an-SQLite-database

Answer 1

您的 SQLite 版本恰好在启用 SQLITE_SECURE_DELETE 的情况下编译。

SQLite3：删除记录而不用空字节覆盖它

SQLite3: Delete record without overwriting it with nullbytes

database

sqlite

computer-forensics