基于NTFS注冊表取證工具研究與設(shè)計(jì).pdf

1、隨著計(jì)算機(jī)技術(shù)廣泛使用，計(jì)算機(jī)犯罪呈現(xiàn)越演越烈的趨勢，給國民經(jīng)濟(jì)帶來了嚴(yán)重的干擾和破壞，預(yù)防和打擊計(jì)算機(jī)犯罪成為當(dāng)下一個(gè)難題。Windows注冊表中包含了豐富的各類信息，其中往往記錄了罪犯分子進(jìn)行犯罪證據(jù)，因此注冊表取證對于預(yù)防和打擊計(jì)算機(jī)犯罪具有重要的意義。
　　 本文在國內(nèi)外注冊表取證技術(shù)研究的基礎(chǔ)上，重點(diǎn)研究了注冊表Hive文件結(jié)構(gòu)和具有取證價(jià)值的信息、Windows NTFS文件系統(tǒng)的大目錄結(jié)構(gòu)和變化規(guī)律及其改進(jìn)建議，同

2、時(shí)分析了VMware虛擬機(jī)文件系統(tǒng)，并設(shè)計(jì)了在主機(jī)上直接提取虛擬機(jī)內(nèi)部文件的解決方案，開發(fā)出能用于虛擬機(jī)注冊表取證的工具VMFSExplorer。
　　 本文的主要貢獻(xiàn)在于:
　　 1、對Windows NTFS文件系統(tǒng)的大目錄結(jié)構(gòu)進(jìn)行了全面的分析，解析大目錄生成條件和變化規(guī)律，提出改進(jìn)大目錄結(jié)構(gòu)的算法。為在大目錄復(fù)雜情況下進(jìn)行計(jì)算機(jī)取證提供理論支持。
　　 2、對注冊表Hive文件總體結(jié)構(gòu)和各種cell提供了詳

3、細(xì)解析，在驗(yàn)證Hive文件中多處校驗(yàn)和算法基礎(chǔ)之上提出操作Hive文件的算法。從計(jì)算機(jī)取證對電子證據(jù)有效性角度出發(fā)，設(shè)計(jì)了Hive文件解析工具，設(shè)計(jì)了針對注冊表取證的操作算法---訪問型原子操作操作。
　　 3、分析VMware虛擬磁盤文件系統(tǒng)數(shù)據(jù)組織方式，基于Hosted Sparse Extents Disk（主機(jī)稀疏擴(kuò)展盤）模型和NTFS文件系統(tǒng)設(shè)計(jì)并開發(fā)專門用于虛擬機(jī)取證的文件提取工具VMFSExplorer。VMFSE

4、xplorer耿證工具運(yùn)行在主機(jī)系統(tǒng)之上，能有效解決虛擬機(jī)因系統(tǒng)損壞、無法破解虛擬機(jī)系統(tǒng)等情況下無法取證的問題，同時(shí)對原始數(shù)據(jù)信息進(jìn)行全面的保護(hù)。VMFSExplorer不僅可以用于虛擬機(jī)注冊表取證，也適用于虛擬機(jī)取證的一般情況。
　　 4、VMFSExplorer取證工具使用三種類型的文件一起保存獲取的電子證據(jù)信息，在保證電子證據(jù)信息有效性和完整性的同時(shí)，也給計(jì)算機(jī)取證人員帶來極大的易操作性和方便證據(jù)的呈現(xiàn)。
　　 基