計(jì)算機(jī)在線取證工具的測(cè)試和分析.pdf

1、計(jì)算機(jī)在線取證技術(shù)是打擊計(jì)算機(jī)犯罪的有效手段,在線取證工具的優(yōu)劣會(huì)直接影響到證據(jù)的有效性,對(duì)案件的偵破產(chǎn)生極大的影響。針對(duì)這種情況,本文對(duì)現(xiàn)階段流行的計(jì)算機(jī)在線取證工具進(jìn)行了測(cè)試和分析。
　　 本文首先介紹了計(jì)算機(jī)取證的發(fā)展現(xiàn)狀和現(xiàn)階段流行的四款在線取證工具的基本情況,指出了在線取證調(diào)查面臨的困難和測(cè)試計(jì)算機(jī)在線取證工具的必要性。
　　 由于基于內(nèi)核念木馬(Rootkit)或病毒的出現(xiàn)以及其他數(shù)據(jù)隱藏技術(shù)的發(fā)展,目前在線

2、取證工具獲取的數(shù)據(jù)有可能是經(jīng)過木馬等惡意程序篡改過的,本文詳細(xì)分析了Rootkit木馬的各種隱藏技術(shù),為測(cè)試工作的進(jìn)行和測(cè)試結(jié)果的分析奠定了基礎(chǔ)。
　　 同時(shí)在線取證調(diào)查中的取證流程將會(huì)對(duì)取證結(jié)果產(chǎn)生很大的影響。在調(diào)查過程中很可能會(huì)由于不同的設(shè)計(jì)邏輯和取證操作,導(dǎo)致取證結(jié)果出現(xiàn)很大的偏差。本文總結(jié)了在線取證調(diào)查過程中應(yīng)該遵守的基本原則和調(diào)查人員應(yīng)該具備的良好職業(yè)習(xí)慣,在結(jié)合電子證據(jù)易失性的基礎(chǔ)上提出了計(jì)算機(jī)在線取證調(diào)查的一般流程

3、,以此作為衡量取證工具執(zhí)行順序正確與否的標(biāo)準(zhǔn)。
　　 取證工具執(zhí)行前后是否對(duì)內(nèi)存產(chǎn)生了影響是必須要進(jìn)行測(cè)試的部分,然而現(xiàn)在流行的基于字符串分析的方法在很多情況下存在問題。本文設(shè)計(jì)和開發(fā)了基于KPCR的內(nèi)存分析工具,它可以從Windows系統(tǒng)的內(nèi)存鏡像文件中獲取進(jìn)程信息、線程信息、進(jìn)程調(diào)用的DLL、打開的文件信息、驅(qū)動(dòng)信息等。同時(shí)為了驗(yàn)證EnCase的硬盤字符串搜索功能的正確性,本文設(shè)計(jì)和開發(fā)了硬盤字符串搜索工具,它可以在NTFS

4、和FAT32文件系統(tǒng)下對(duì)硬盤進(jìn)行任意字符串的搜索工作,支持Unicode、GB2312、Big5三種字符集,同時(shí)還可以進(jìn)行簡(jiǎn)單的數(shù)據(jù)恢復(fù)工作。
　　 在計(jì)算機(jī)在線取證調(diào)查的基本原則和一般流程的基礎(chǔ)上,本文提出了在線取證工具的測(cè)試指標(biāo),從工具的執(zhí)行順序、自定義性、時(shí)間要求、全面性、完整性、冗余性和正確性、對(duì)內(nèi)存的保護(hù)程度、對(duì)網(wǎng)絡(luò)狀態(tài)的保護(hù)程度、易用性、可移植性、各種操作的記錄情況十個(gè)方面對(duì)FRED、IRCR和WFT三款在線取證工具

5、進(jìn)行了測(cè)試。測(cè)試是在VMware-workstaTiO2虛擬機(jī)的Windows2000 SP4、Windows XP SP2、Windows Server2003 SP2、Windows vista SP1四個(gè)版本的操作系統(tǒng)上進(jìn)行。測(cè)試中使用了6種公開可用的Rootkit木馬來檢驗(yàn)取證工具獲取結(jié)果的正確性；用內(nèi)存分析工具分析了取證工具對(duì)內(nèi)存狀態(tài)的影響。對(duì)各指標(biāo)所得的結(jié)果進(jìn)行了對(duì)比研究,指出了各個(gè)工具的優(yōu)缺點(diǎn),形成了測(cè)試結(jié)論。同時(shí)也對(duì)En