基于Windows7环境下的跳转列表解析用户操作行为

作为计算机犯罪侦查中重要的证据与线索来源,用户行为信息在揭示犯罪分子操作细节方面发挥着重要作用。以往关于此方面的研究主要集中于Prefetch文件夹、Rencent文件夹以及注册表等方面。针对Windows 7新增功能——跳转列表进行研究,剖析其内部结构,从电子数据取证角度归纳总结用户操作对其产生的影响。实践证明,上述方法准确高效。     

基于Windows 7“系统还原”功能的电子数据取证方法

传统电子数据取证技术难以还原数据文件中被修改过内容的本来面目。Windows操作系统中内置的"系统还原"功能则提供了揭示文件背后所隐藏秘密的新途径。相较Windows XP,Windows 7"系统还原"功能更为全面深入,并采用了全新的文件结构。基于电子数据取证视角,说明Windows 7"系统还原"功能,着重分析该功能所涉及的具体文件(夹)的结构格式,结合实例阐述其在电子数据取证实践中的具体应用。     

浅谈电子设备中电磁信息"痕迹"及提取利用

电磁信息"痕迹"是指高科技犯罪分子在实施作案过程中或者预谋作案时在其使用的通讯媒体、计算机系统或其它具有一定记录保存功能的电子设备上自觉不自觉的留下的种种可供公安机关侦查、了解、掌握作案人犯罪过程、证明案件事实的以电子形式存在的信息与数据。高科技犯罪中电磁信息"痕迹"取证是关键。甚至需要从已被删除、加密或破坏的文件中重获信息。为有效控制高科技犯罪和侦破高科技犯罪案件,必须高度重视电磁信息"痕迹"的提取和分析技术。     

一种提取锁屏模式下iPhone手机数据的方法

锁屏手机一直是电子取证过程中经常遇见的难题,尤其对于搭载ios操作系统的iPhone手机。由于ios系统是不开源的,而且设有安全启动链机制、代码签名机制、沙盒机制、数据加密机制和密钥链机制等严格安全机制,所以取证人员提取锁屏模式下的iPhone手机数据变得尤为困难。对ios系统及其安全机制进行研究,借助授权PLIST文件,建立锁屏iPhone手机与取证工作站的连接,并以iPhone 4s手机为例进行实验验证,能够成功提取手机数据,这为取证人员提供了一种提取锁屏模式下iPhone手机数据的方法。     

Windows环境下基于栈和堆的应用程序行为解析方法研究

通过描述Windows中与栈及堆密切相关的系统结构,说明其定位方法,并重点讨论其结构格式的电子数据取证特性,为内存空间电子数据取证提供了新的思路与方法.实例分析部分,则以目前广泛使用的Windows操作系统为应用背景,说明了所述方法的具体应用.     

电子政务建设中的文件管理风险探析

风险是可以预见的危险,探究风险的目的在于识别、判断、警示风险的存在,分析、推究造成风险的原因,并有针对性地提供防范、规避风险的对策。我国电子政务建设中的文件管理风险主要表现在:现有的电子政务方案和电子政务系统大多不足以支持电子文件的有效运行、真实可靠和长期可读;一些机构尚未将电子文件视为“正式文件”,更没有作为重要的信息资源看待;一些电子政务系统中套用纸质文件管理流程和方法的痕迹十分严重;许多适合电子文件特点的已经在国外应用并得到验证的管理措施在我国鲜有使用。世界各国由于电子文件管理失误而造成的损失应该唤起我们的警醒,在电子政务系统建设框架中必须充分考虑电子文件和电子档案的管理问题。     

Office文件编辑过程痕迹提取研究

使用Winhex研究Office文档在磁盘上的存储结构,分析文件编辑痕迹在磁盘内的分布情况,编写软件实现Office数据块的解压缩和关键信息的自动提取。实验测试证明,该软件系统可以准确提取出NTFS格式磁盘内残留的Office痕迹碎片,并将碎片组合成可以查看的Office文件,同时获取到文件的编辑时间、编辑用户名和编辑次序等信息。     

基于ESE数据库文件分析的IE浏览器取证技术研究

讨论了IE浏览器取证相关的知识,对IE浏览器中保存Web访问记录的ESE数据库文件进行了介绍,并分别以IE6、IE8和IE10为例分析了其ESE数据库文件在Windows系统中的存储位置和方式。重点对Index.dat和Webcachev01.dat两种ESE文件进行了结构解析,并以取证实战为目的,具体分析了IE浏览器取证中的二进制分析法,同时介绍了工具取证法。     

一种Windows10中文用户输入痕迹信息提取方法研究与实现

中文输入法自学习所产生的用户词库可作为一种计算机用户行为痕迹信息,对计算机取证工作有重要的现实意义,其存有的用户常用或者符合用户用语习惯的字词句有助于案件侦查线索的拓展,但是该类输入信息的存储形式依赖于不同的中文输入法应用程序,均以特定数据格式存储在计算机中,其内容不易直接获得。因此,以Windows操作系统最新版本Win10中自带的中文输入法作为研究对象,采用数据流逆向分析方法对用户词库文件的存储协议格式进行分析,明确了输入词条信息在其内部的存储数据结构,提取出留存其中的大量用户自输入信息,并利用词云图的方式对所获得的信息进行整理并呈现,有利于发现用户的输入行为特征,为公安后期刑侦决策提供有价值的案件线索。     

我国电子文件管理的现状、问题与对策

电子文件已经成为当代中国信息化实践活动的基本凭证。面对电子文件管理的基本任务,我国已经在电子文件证据地位、电子公文交换、电子文件存档等方面推出了相关的政策法规标准。然而,由于存在文件概念专业性有余而共识性不足、推动方式以分散探索为主而顶层设计不足等问题,导致国家电子文件流失、失控严重,需要在战略规划上将电子文件管理纳入到信息化建设整体之中,通过机制创新推动电子文件管理的进展,通过标准建设和市场引导促进电子文件规范化管理。     

MySQL数据库检验方法研究

介绍了提取涉案MySQL数据库的数据文侔和目志文件的方法;给出了附加涉案MysQL数据库到取证计算机的方法和常用的SQL指令;重点研究了数据库自动搜索方法和基于二进制日志文件的操作痕迹提取方法。结果表明,应用本文设计的MySQL数据库自动搜索存储过程可以从所有数据库中快速、准确检索出包含某个特定关键词的数据记录,应用本文给出的日志分析方法可以对用户的操作痕迹进行提取。     

碘熏法显现压痕字迹和擦刮痕迹的原理探讨

长期以来人们在文件检验中，使用碘熏法显现压痕字迹和擦刮痕迹比较普遍，但以这一应用原理的解释比较模糊。本文第一次用表面化学中的比表面理论，较好地解释了在文件检验工作中，碘熏法显现书写压痕字迹和擦刮变造痕迹的问题。     

浅析AVI文件格式及恢复实例

AVI文件的应用非常广泛,大量的行车记录仪使用AVI文件存储视频数据,是重要的电子证据,能给侦查办案提供重要线索和证据。工作中常遇到由于没有及时提取行车记录仪导致视频被覆盖的案例。本文分析了AVI文件的格式定义,介绍了从中提取"隐藏视频"的方法,在实例中取得了良好的效果。     

电子文件管理标准建设的国际经验及借鉴研究

概述了电子文件管理标准建设的研究背景和现状;通过对美国、英国和澳大利亚三国国家档案馆及国家标准化组织制定的电子文件管理相关标准调查,从标准的存在类型、主题内容、建设机制和模式三个方面对三国电子文件管理相关标准进行了分析讨论;并通过与我国标准建设现状的比较研究,提出了值得我国电子文件管理标准建设借鉴的国外经验。     

针对网盘客户端的电子数据取证方法研究

随着互联网技术的发展和广泛应用,涉及电子证据的犯罪案件与日俱增,基于云存储技术的网盘成为不法分子藏匿非法信息的网络空间。针对Windows操作系统,提出了一种网盘客户端的取证方法,对操作网盘的行为进行提取和分析,为获取网盘中的电子数据信息提供了一种新方法。     

涉案计算机的数据恢复与侦查取证

在犯罪手段复杂化科技化的今天,越来越多的刑事案件涉及计算机及其数据。犯罪嫌疑人往往在有意无意间把自己犯罪的有关数据存储在电脑当中,在诉讼过程中电子数据的地位越来越高。由于电子数据的特殊性,普通计算机中的数据极易遭到破坏和改变,而数据恢复技术正是对遭到破坏、修改的数据进行还原恢复,其功能在于发现线索,获取证据。在公安工作中,数据恢复已经成为侦查取证过程中日益重要的一种技术手段。但在数据恢复操作过程中必须遵守一系列原则,以保证电子数据的证明效力,保证诉讼顺利进行。     

充分发挥电子取证的积极作用

电子数据作为新的证据形式在新刑事诉讼法中予以明确规定后,如何从取证角度,规范电子数据的收集、固定、转移等就显得非常必要和紧迫。在司法实践中,基于突破案情的需要,不断提升检察人员的取证能力,创建取证协作机制,处理好电子数据与其他证据的关系对于充分发挥电子取证在检察机关执法办案中的积极作用具有重要价值和意义。     

TOR使用痕迹信息的固定和提取分析

TOR是全球应用最广泛的公共匿名通信服务系统,可有效隐藏消息发送者、接收者和两者关联性,并具有延时低、稳定性好等特点,还可抵抗局部流量分析。TOR为了对抗取证分析,对使用痕迹也进行了清理和保护,但并不彻底。针对三种主流操作系统,即OS X、Debian 6.0和Windows 7搭建了虚拟环境,将使用TOR浏览器套件前后的操作系统分别做镜像并进行取证分析,通过md5值和hash值校验、关键字搜索、进程分析等方法来挖掘TOR的使用痕迹,共计发现20处残留信息,对电子取证工作有重要的参考意义。文章最后提出了规避信息泄露的简单方法。     

Photoshop图像软件在痕迹检验中的作用研究

数字图像处理技术,以其快捷、方便等优势,在痕迹检验中起到了重要作用。特别是Photoshop图像软件,在对变形的或模糊的痕迹图像处理方面,显示了无可比拟的优越性,展现了它为痕迹检验鉴定提供清晰、高质量的痕迹图片的功能。     

汽车电子标识应用系统研究与设计

提出一种基于我国自主空中接口协议标准GB/T 29768的汽车电子标识及其应用系统的总体架构。总体架构分为感知层、传输层、数据层和应用层。针对汽车电子标识应用系统的特点,在感知层设计了TID随机加密、双向身份认证等安全机制;传输层设计为视频专网、公安网的双网结构;数据层设计为关系型和基于大数据技术的非关系型数据库混合存储结构;应用层采用基于Web技术的多层应用架构。通过实践证明,该系统架构结构清晰、设计合理,适用于汽车电子标识应用系统的开发和实施。