随着网络信息技术的发展, 计算机网络 逐渐成为人们生活和工作中不可或缺的组成部分,它改变了人们传统的工作习惯和生活节奏。在人们越来越依赖网络的 今天,伴随着 计算机 网络的日新月异,计算机网络犯罪也逐渐走进了我们的视线。黑客攻击、网络钓鱼,僵尸网络,这些以谋取非法利益为目的的新兴犯罪手段,使 人们诚惶诚恐。不仅仅是因为担心 数据 丢失给企业和个人造成经济损失,更重要的原因是当企业或个人发现了被黑客攻击,被病毒侵害而造成损失后,往往不知道该 怎么办,举报到相关部门,又缺乏足够的证据,毕竟这是虚拟的世界,找证据非常的难。这也是本文要和大家探讨的问题:计算机取证。
计算机证据是指在计算机系统运行过程中,产生用以证明案件事实的内容的一种电磁记录物。针对网络攻击事件,可以作为证据有:系统日志、应用日志、服 务器日志、网络日志、防火墙日志、入侵检测、磁盘驱动器、文件备份等等,其中入侵检测、服务器日志是主要的证据来源。从企业信息 网络安全 建设来看,计算机 取证已经成为一个重要的领域。通过检查计算机的访问日志信息,可以了解犯罪嫌疑人在该计算机上做了哪些事情,找到可疑文件;通过黑客工具反向判定,可以追 踪黑客动向以及了解黑客活动。
但是从目前的情况来看,网络取证还是非常困难的,因为到目前为止,国家还没有一个成文的相关法规出台。而且现在的犯罪分子也十分狡猾,网络犯罪手段 也非常隐蔽多样,以色情犯罪为例,在罪犯建设的站点上,开辟隐藏的色情版块,只给那些老成员访问,有着长期的信任关系才能访问嫌疑人到隐藏版块,其他会员 则不可见。有些甚至只有通过2层、3层网络代理才可以访问,还有人使用vpn做加密通道,在肉鸡上放置色情资源,嫌疑人为了证明自己的清白,经常在主页上 植入木马程序,自己不光卖流量,还卖信封,当你抓捕他的时候,他能诡辩的声称这个服务器空间是被别人给利用了,自己也是受害者。这些手段和行为在司法机关 立案和定罪时,确实很难成为呈堂证供。计算机取证这条道路是漫长而深远的,有时抓获嫌疑人,却因为证据不足而不能定罪,留下的是更多的无奈。
用事实说话
2006年6月,我所在城市的刑侦大队,来找我帮忙做一次计算机技术分析和取证。起因是当地的一个犯罪分子在劫车杀人后,曾经来过当地的汽车配件市 场中的一个商店,买过一个零件,而当时卖配件的售货人员在他们使用的电脑上留有一些销售记录。我首先查看了机器上装的销售软件,该销售软件是广东开发的, 操作平台是基于DOS开发的,很BT(51CTO编者注:BT在这里可以理解成“变态”),竟然还调用了ucdos。经过一些行为分析和操作检查后,发现 里面有很多记录,但是很多从登记的人员信息来看都是虚假的,更奇怪的是只有近几天的销售记录,而没有以前的。就打电话给商店老板,老板说这个电脑平时都是 用来做销售记录,偶尔听听音乐的,没有人懂电脑的,经过再三的确认,或许有人误操作吧。不过这也难不倒我们,用EasyRacover(51CTO编者 注:EasyRacover是一种 数据恢复 软件)经过近3个小时的恢复,发现了不少东西。遗憾的是还没发现有价值的信息,在一些数据库文件中发现的销售日 期是近来几天的。哎,看下表都已经夜里2点了,抽颗烟,继续分析,期间用了很多工具,还是一无所获。第2天早上,朋友买来早点,等着听我的好消息,我只能 两手一摆,没有结果。但是我不死心,因为从我个人研究的角度考虑,肯定还是有内在原因的,商店那边肯定还是有问题。经过再三的询问,终于才知道里面有一个 销售人员懂点基本的操作,晚上趁老板不在的时候,看一些自己买的色情影碟,后来机器中了病毒,他怕老板知道,就用了那种ghost版本的winxp安装盗 版光盘,哎,就是这个可怕的ghost,造成了永久不能复原,让我们在第一时间损失了获得嫌疑人第一手的信息,经过后来和一些数据恢复专家的探讨,他们说 这就相当于一次物理写入,在数据恢复研究领域,物理擦写是无法在还原记录的,就是目前美国也无法完成物理擦写后的数据恢复。
这是我当是第一次做取证方面的事情,虽然是失败了,但是却激发了我很浓厚的兴趣,现在一直也在这个方面做一些研究,有时也和警察朋友一起做些配合。
那么黑客是怎么去消除证据的?
是不是真的象一些黑客电影里面演的那样,把使用的数据光盘放入微波炉里面摧毁,把硬盘锁定,敲任意键都进入数据倒计时自我毁灭状态。说老实话,把光 盘放入微波炉里面,消除证据我还没有做过,不过以前和朋友到是真写过一个毁坏硬盘的程序,程序运行的时候要对磁头进行读写,硬盘盘片高速旋转,cpu做大 量计算的时候,突然之间停止,杀死他的马达。主要思路是来自对软驱的读写控制,因kill motor 这个命令而想到的,为此也报废了一个硬盘。所以键入任意键,进入硬盘自毁程序,我是认可的。而放入微波炉的那个,想想太危险,就没有做个这样的测试。其实 大多数黑客都不是只有一个硬盘的,一般情况下都是有2-3块移动硬盘,把一些珍贵数据放在里面。在他们跑路的时候,用塑料带罩着。放在隐藏的角落,具体什 么位置,大家自己去想吧。每个人的思路不一样,我这里不好多做解释。现在还有的一些黑客把资料放在自己的pda手机里面,手机都是二手的,然后在把SIM 卡进行擦写,即使我们做了发射基站定位,也还是找不到他们真正的藏匿之所。黑客还喜欢把经过跳转的路由节点都一个个的干掉,把犯罪信息抹除的干干净净。
如何查找证据呢?
一般黑客的常用做法就是以假乱真,通过注册表来克隆帐户,用克隆帐户访问一些核心信息,通过DOS修改文件时间等手段,造成一种迷惑的假象。很多木 马程序都是放在system32里面。很少有用户留意这个目录。黑客也会在肉鸡上开vpn服务,不过通常访问的时候都是过三层代理访问肉鸡,即使被发现和 跟踪也只能访问到代理主机,同样它也是一台肉鸡,而且多数都不是在国内。这给取证方面增加了很大难度。
黑客通常在访问完肉鸡(傀儡机)后,首先要做的工作,是清除系统访问日志,国内的都喜欢用小榕的那个工具清除系统日志,一般我们浏览一些信息的时 候,从“开始”菜单的“文档”菜单可查看到Windows 系统自动记录的最后使用的十五个文档,实际上,这个信息存放在C:Documents and SettingsDefault UserRecent中(51CTO编者注:Default User是Windows操作系统登陆的用户帐号,下同),它还包括有文件链接和访问时间,检查此文件夹,可以了解最近计算机的使用情况。
不仅如此,从开始菜单,运行regedit ,从注册表中搜索recent ,将得到许多recent 记录。例如:
在HKCU Software Microsof t DevStdio 6. 0 Recent File List 有开发工具Visual Studio 的最近使用的程序文件和工程文件;
在HKCU Software Adobe Acrobat Reader 8. 0 AdobeViewer 有该软件最近阅读过的文件;
在HKCU Sof tware Microsof t Office 9. 0 Excel Recent Files 有Excel 最近打开的文档;
前述开始菜单的十五个文档也存放在HKCU Sof tware Microf t Windows CurrentVersion Explorer RecentDocs ,只不过文件名使用的是Unicode 编码;
在C:Documents and SettingsDefault User Local Settings History 中存有最近访问所留下的所有文件;
IE 访问历史在C:Documents and SettingsDefault User LocalSettings Temporary Internet Files ,记录了Internet 地址、标题和上次访问时间等;
在HKCU sof tware Microsof t Internet Explorer Type2dURLS 路径下可以看到上网的网址。
C:Documents and SettingsDefault User Favorites 是收藏夹,在作系统信息检查时,应当在资源管理器中设置“显示所有文件”,因为在默认情况下,系统文件夹设置成“隐藏”属性。通过这些操作就可以看到我们访问过的一些痕迹。
国外的是怎么样做网络取证的?
随着美剧越狱的热播,大家都对那个充满着离奇色彩的电影而充满想象,但是处于职业习惯,我更看中的是那个FBI探员的犯罪猜想以及FBI做的数据还 原。FBI就是通过硬盘的数据恢复从而知道了男主角的全盘计划。如果不想让人看到自己的一些记录,完全可以把硬盘进行分解,做物理性破坏。从近三年的计算 机安全技术论坛(FIRST年会)看,计算机取证已经成为广为关注的问题。国际上在计算机取证方面已有比较深入的研究,并且有不少公司推出了相关的应用产 品。美国五个已建成和计划建设中的计算机取证实验室,专门用于恐怖活动追踪和计算机犯罪调查。
一般国外惯用的取证手法还是通过专业工具,主要使用Encase和Ftk这两个工具软件,通过二进制数据还原技术来重现一些机器操作信息和软件安装 数据信息等。在 电子邮件 取证方面是通过EmailTrackPro这个工具来做一些电子邮件定位,通过分析邮件来往信息头做出判定,同时这也是捕捉网络蠕 虫病毒,跟踪源惯用的方法,还有通过Filemon等工具做一些信息比对,找出木马和黑客软件的容身之所,根据逆向分析来进行反跟踪,侦查黑客的所在地。 从而通过诱捕、抓捕犯罪嫌疑人,当然更多的也是通过高额的赏金来做情报收集。圈里有一种传说:FBI可以对六次的重复擦写的磁盘做出数据还原。我也和国外 的朋友探讨过,大家一致认为这绝对是不可能的,要不怎么说是传说呢?
应该怎么取证
为了确保证据的安全、可信,计算机证据国际组织( International Organization on Computer Evidence ,IOCE) 对数字证据的采集、保存、检验和传送提出的特别要求:“必须使用有效的软硬件进行采集和检验;数字证据的采集、检验、传送全过程都必须有记录;任何有潜在 可能对原始数字证据造成改变、破坏或毁坏的活动必须由有法律上承认的有资质的人进行。对现场计算机的一个处理原则是,已经开着的计算机不要关掉,关着的计 算机不要打开。如果现场计算机是开着的,应避免使屏幕保护程序激活。检查屏幕上的活动。如果发现系统正在删除文件、格式化、上传文件、系统自毁或进行其他 危险活动,立即切断电源。
现场取证时,应当记录系统日期和时间、主存内容、当前执行的进程列表、在端口提供服务的程序列表、当前系统内用户列表,如果是联网系统,还应收集当前连入系统的用户名和远程系统名。还应当尽可能记录使用者的个人情况、用户名、口令、密码等。
对于计算机硬盘数据,使用专用的取证工具进行硬盘复制,在实验室对备份的硬盘进行检验,采集证据。原始硬盘封存保管。对于取证用的计算机,要进行病毒检测,防止病毒传染到被检测的计算机。
计算机取证方面存在的问题总结:
计算机取证技术是相关法律法规赖以实施的基础,是我国全面实现信息化的重要技术之一,但现在还存在以下问题:
(1)计算机取证涉及到磁盘分析、加密、数据隐藏、日志信息发掘、数据库技术、介质的物理性质等多方面的知识,取证人员除了会使用取证工具外,还应具备综合运用多方面知识的能力。
(2)在取证方案的选择上应结合实时取证和事后取证两种方案,以保证取证的效果,因此可以将计算机取证融合到入侵检测等网络安全工具中,进行动态取证。这样,整个取证过程将更加系统并具有智能性。
(3)计算机取证只是一种取证手段,并不是万能的,因此应与常规案件的取证手段相结合,比如询问当事人、保护现场等,从而有效打击计算机犯罪。
(4)到目前为止,尽管相关部门早已进行了计算机安全培训,但还没有一套成形的操作规范,使得取证结果的可信性受到质疑。为了能让计算机取证工作向着更好的方向发展,制定取证工具的评价标准和取证工作的操作规范是非常必要的。