Linux环境下利用i节点收集电子证据的方法

1引言所谓电子证据,是指以数字的形式保存在计算机存储器或外部存储介质中、能够证明案件真实情况的数据或信息。作为一种新的诉讼证据,电子证据的收集与获取过程必须保证合法、确实、充分,只有这样才能准确的认定案件事实,才能正确的使用法律追究犯罪嫌疑人的法律责任。所以,电子证据的收集与获取工作是计算机案件侦破过程中一个十分重要的环节。电子证据收集通常包括寻找文件系统中的所有相关数据,利用磁盘分析技术进行数据恢复,检查磁盘文件被增、删、改的痕迹等工作。在Windows系列操作系统中能够用于电子证据收集的系统工具与应用软件…     

Windows操作系统环境下调查USB设备使用痕迹方法研究

获取送检介质曾经挂载的USB设备使用痕迹,是电子数据取证实践中典型鉴定需求之一。虽然现有取证工具有的声称支持此类信息的分析,但实际工作中发现其提取到的痕迹(特别是USB设备序列号)并不准确,同时也不够全面(如缺少USB设备被分配的盘符信息),难于满足取证实践的需要。传统的此类痕迹调查完全依靠注册表中的USBSTOR表键,为弥补其不足,本文基于电子数据取证视角,在详细说明USBSTOR表键取证关键的基础上,增加了USB和UMB表键的分析;并阐述了在相关注册表键被清除的情况下,如何依靠系统文件补充调查USB设备使用过程中可能留有的痕迹。实践证明,所述方法准确高效。     

WinRAR压缩文件的电子数据取证方法探讨

从常规取证方法、临时文件(夹)分析、ADS文件调查等方面入手,详细讨论了针对WinRAR压缩文件的电子数据取证方法,并对过程中涉及到的具体技术与注意事项予以阐述。     

通过邮件头分析进行电子邮件追踪

随着互联网技术的发展，电子邮件的使用日益广泛，它在方便人们传递信息的同时．也逐渐成为犯罪证据的可能载体。针对电子邮件的研究，对于获取破案线索以及提供法庭上的呈堂证据。起着越来越重要的作用。邮件头分析是电子邮件研究的重点内容之一，通过识别邮件头中的伪造信息，可以排除干扰，达到追踪电子邮件真实来源的目的。本文对邮件头各域含义进行了详细阐述，并通过实例说明分析判断信息真伪的方法．同时简要介绍了电子邮件生命周期、邮件头信息查看以及搜索电子邮件所用关键字等方面内容。     

利用Ext2文件系统的硬盘布局信息收集电子证据

Linux环境下的主流文件系统Ext2,其硬盘布局方式与FAT32、NTFS等文件系统相比存在明显的差异。本文通过对Ext2硬盘布局中特有的超级块、块组以及索引节点等概念的介绍,结合实例说明Ext2文件系统下收集电子证据的方法,同时也将对电子证据收集的基本步骤与注意事项予以探讨。本文描述的方法所使用命令均为系统命令,因此具有较强的可操作性,所收集结果直观明了,同时也适用于Ext2文件系统的升级版本Ext3。     

计算机犯罪现场的认定

常规计算机犯罪现场认定方法着重依赖于计算机技术自身特点,通常以计算机及其相关设备为中心开展工作,而相对忽视了传统案件侦查手段在计算机犯罪侦查中的应用。针对这种情况,本文从线索来源、犯罪类别与涉案人调查三个传统角度出发,通过常规侦查措施与计算机技术相结合的方式讨论计算机犯罪现场的认定方法,并对侦查人员所应具备素质与认定过程中的注意事项予以说明,希望借以拓宽侦查思路,对今后计算机犯罪侦查工作起到有益的帮助。     

基于内存中的网络传输数据结构获取电子数据

电子数据取证实践中,获取嫌疑人进行网络信息传输涉及的IP地址、端口号、MAC地址以及对应进程信息,有助于全面深入揭示嫌疑人网络犯罪行为。基于IPv4首部、sockaddr_in、_TCPT_OBJECT、Ethernet V2标准MAC帧等四种数据结构于内存中的具体格式,归纳总结用于定位相关结构的特征关键字,同时通过实例说明提取网络传输电子证据的方法,并对过程中涉及的具体技术与注意事项予以阐述。电子数据取证实践证明,所述方法准确高效。     

基于Volatility的内存信息调查方法研究

随着反取证技术的发展，调查人员越来越难于在磁盘介质中寻找到有价值的证据或线索。针对内存信息的调查分析研究由此成为计算机法庭科学领域日益关注的焦点。通过以内存调查取证开源软件Volatility为背景，从进程及DLL、内存及VAD、驱动程序及内核对象、网络连接与注册表等多个角度描述内存信息的调查方法．并结合实例说明所述方法在实际工作中的具体应用。     

逆向分析在电子数据取证中的应用——以“QQ密码大划拉”为例

逆向分析是恶意程序取证的常用方法之一,在揭示恶意程序意图及行为方面发挥着其他方法无法比拟的作用。在对逆向分析基本概念、方法、工具进行介绍的基础上,结合中国大陆地区一起利用恶意程序窃取QQ账号与密码的真实案例,从查壳、脱壳、断点设置、程序跟踪、关键信息获取等方面详细描述了针对恶意程序进行逆向分析的全过程。     

木马脱壳技术在电子数据取证工作中的应用

在实际的电子数据取证工作中,经常会碰到木马服务端与客户端如何通信联系方面的鉴定要求.而目前木马恶意程序绝大多数都进行了加壳的保护,要彻底查明木马恶意行为首先需要对其进行脱壳.本文依托一个来源于实际工作的真实案例,描述了针对一个盗取魔兽世界游戏账号与密码的木马,进行查壳、脱壳及后续分析的全过程,并着重突出了脱壳环节,采用...