基于NTFS注冊表取證工具研究與設計.pdf

1、隨著計算機技術(shù)廣泛使用，計算機犯罪呈現(xiàn)越演越烈的趨勢，給國民經(jīng)濟帶來了嚴重的干擾和破壞，預防和打擊計算機犯罪成為當下一個難題。Windows注冊表中包含了豐富的各類信息，其中往往記錄了罪犯分子進行犯罪證據(jù)，因此注冊表取證對于預防和打擊計算機犯罪具有重要的意義。
　　 本文在國內(nèi)外注冊表取證技術(shù)研究的基礎上，重點研究了注冊表Hive文件結(jié)構(gòu)和具有取證價值的信息、Windows NTFS文件系統(tǒng)的大目錄結(jié)構(gòu)和變化規(guī)律及其改進建議，同

2、時分析了VMware虛擬機文件系統(tǒng)，并設計了在主機上直接提取虛擬機內(nèi)部文件的解決方案，開發(fā)出能用于虛擬機注冊表取證的工具VMFSExplorer。
　　 本文的主要貢獻在于:
　　 1、對Windows NTFS文件系統(tǒng)的大目錄結(jié)構(gòu)進行了全面的分析，解析大目錄生成條件和變化規(guī)律，提出改進大目錄結(jié)構(gòu)的算法。為在大目錄復雜情況下進行計算機取證提供理論支持。
　　 2、對注冊表Hive文件總體結(jié)構(gòu)和各種cell提供了詳

3、細解析，在驗證Hive文件中多處校驗和算法基礎之上提出操作Hive文件的算法。從計算機取證對電子證據(jù)有效性角度出發(fā)，設計了Hive文件解析工具，設計了針對注冊表取證的操作算法---訪問型原子操作操作。
　　 3、分析VMware虛擬磁盤文件系統(tǒng)數(shù)據(jù)組織方式，基于Hosted Sparse Extents Disk（主機稀疏擴展盤）模型和NTFS文件系統(tǒng)設計并開發(fā)專門用于虛擬機取證的文件提取工具VMFSExplorer。VMFSE

4、xplorer耿證工具運行在主機系統(tǒng)之上，能有效解決虛擬機因系統(tǒng)損壞、無法破解虛擬機系統(tǒng)等情況下無法取證的問題，同時對原始數(shù)據(jù)信息進行全面的保護。VMFSExplorer不僅可以用于虛擬機注冊表取證，也適用于虛擬機取證的一般情況。
　　 4、VMFSExplorer取證工具使用三種類型的文件一起保存獲取的電子證據(jù)信息，在保證電子證據(jù)信息有效性和完整性的同時，也給計算機取證人員帶來極大的易操作性和方便證據(jù)的呈現(xiàn)。
　　 基