計算機在線取證工具的測試和分析.pdf

1、計算機在線取證技術是打擊計算機犯罪的有效手段,在線取證工具的優(yōu)劣會直接影響到證據(jù)的有效性,對案件的偵破產(chǎn)生極大的影響。針對這種情況,本文對現(xiàn)階段流行的計算機在線取證工具進行了測試和分析。
　　 本文首先介紹了計算機取證的發(fā)展現(xiàn)狀和現(xiàn)階段流行的四款在線取證工具的基本情況,指出了在線取證調(diào)查面臨的困難和測試計算機在線取證工具的必要性。
　　 由于基于內(nèi)核念木馬(Rootkit)或病毒的出現(xiàn)以及其他數(shù)據(jù)隱藏技術的發(fā)展,目前在線

2、取證工具獲取的數(shù)據(jù)有可能是經(jīng)過木馬等惡意程序篡改過的,本文詳細分析了Rootkit木馬的各種隱藏技術,為測試工作的進行和測試結(jié)果的分析奠定了基礎。
　　 同時在線取證調(diào)查中的取證流程將會對取證結(jié)果產(chǎn)生很大的影響。在調(diào)查過程中很可能會由于不同的設計邏輯和取證操作,導致取證結(jié)果出現(xiàn)很大的偏差。本文總結(jié)了在線取證調(diào)查過程中應該遵守的基本原則和調(diào)查人員應該具備的良好職業(yè)習慣,在結(jié)合電子證據(jù)易失性的基礎上提出了計算機在線取證調(diào)查的一般流程

3、,以此作為衡量取證工具執(zhí)行順序正確與否的標準。
　　 取證工具執(zhí)行前后是否對內(nèi)存產(chǎn)生了影響是必須要進行測試的部分,然而現(xiàn)在流行的基于字符串分析的方法在很多情況下存在問題。本文設計和開發(fā)了基于KPCR的內(nèi)存分析工具,它可以從Windows系統(tǒng)的內(nèi)存鏡像文件中獲取進程信息、線程信息、進程調(diào)用的DLL、打開的文件信息、驅(qū)動信息等。同時為了驗證EnCase的硬盤字符串搜索功能的正確性,本文設計和開發(fā)了硬盤字符串搜索工具,它可以在NTFS

4、和FAT32文件系統(tǒng)下對硬盤進行任意字符串的搜索工作,支持Unicode、GB2312、Big5三種字符集,同時還可以進行簡單的數(shù)據(jù)恢復工作。
　　 在計算機在線取證調(diào)查的基本原則和一般流程的基礎上,本文提出了在線取證工具的測試指標,從工具的執(zhí)行順序、自定義性、時間要求、全面性、完整性、冗余性和正確性、對內(nèi)存的保護程度、對網(wǎng)絡狀態(tài)的保護程度、易用性、可移植性、各種操作的記錄情況十個方面對FRED、IRCR和WFT三款在線取證工具

5、進行了測試。測試是在VMware-workstaTiO2虛擬機的Windows2000 SP4、Windows XP SP2、Windows Server2003 SP2、Windows vista SP1四個版本的操作系統(tǒng)上進行。測試中使用了6種公開可用的Rootkit木馬來檢驗取證工具獲取結(jié)果的正確性；用內(nèi)存分析工具分析了取證工具對內(nèi)存狀態(tài)的影響。對各指標所得的結(jié)果進行了對比研究,指出了各個工具的優(yōu)缺點,形成了測試結(jié)論。同時也對En