数据库作为数据存储和管理的重要手段,在各行各业得到了越来越广泛的应用,数据库取证自然也成为了数字取证领域的研究热点之一,其中恢复已删除的数据更是数据库取证的重要组成部分。目前,数据库取证领域主要关注关系型数据库的研究,而鲜有涉及非关系型数据库。本文以HBase数据库为研究对象,对如何有效、完整地恢复HBase记录展开研究。主要工作如下:首先,根据HDFS的存储特征,提出了一种利用HDFS中存储的校验和文件来恢复HBase记录的方法。该方法先利用校验和文件来识别HBase数据文件的分片,从磁盘镜像里恢复数据文件的各个数据块,然后根据数据块的结构和记录的格式从已恢复的数据块里抽取相应的表记录。对三种簇大小的磁盘进行实验,实验结果表明,所提出的方法,对于簇大小为4KB和2KB的磁盘,记录的恢复率接近于100%,对于簇大小为1KB的磁盘,最低的恢复率也达到了83.61%。其次,根据预写日志的存储结构特征,提出了一种基于预写日志的恢复HBase记录的方法。在分析了预写日志结构的基础上,利用同步标识来识别日志文件的分片,然后利用序列号将各个分片进行排序,从而重构出日志文件,接着对日志条目格式进行分析,以恢复其中的表记录。同样对三种簇大小的磁盘进行实验,实验结果表明,在日志未被覆写的情况下,针对簇大小为4KB和2KB的磁盘,该方法能够恢复出日志文件中所有的记录,针对簇大小为1KB的磁盘,恢复率为96.22%,当日志文件被部分覆写时,也可以对未被覆写的部分实现最大程度的恢复。本文对HBase数据库的数据恢复技术进行了研究,研究成果对HBase数据库取证领域进一步研究具有一定的贡献。