Windows与Linux取证分析

目录

一、电子数据取证基本概念

1.电子取证学

2.常规取证

3.洛卡德物质交换原理

4.电子数据范围

5.电子数据取证的概念和目的

6.电子数据取证过程

二、Linux系统取证

1.基本信息获取

（1）获取系统基础信息

（2）用户/用户组信息

（3）网络信息

2.系统运行状态

（1）任务计划

（2）进程信息

（3）服务信息

2.日志分析

（1）系统接入日志

（2）进程统计日志

（3）错误日志

3.常用日志文件

（1）文本日志

（2）二进制日志

4.应用日志

（1）Apache服务日志

（2）CUPS打印系统日志

（3）Samba日志

（4）其他日志

三、Windows系统取证

1.主要的易失性数据

2.相关命令

3.windows重点目录

（1）用户目录

（2）桌面

（3）最近访问文档

（4）我的文档

（5）启动目录

（6）交换文件

（7）休眠文件

（8）假脱机打印文件

4.注册表

（1）注册表分支

（2）用户信息

（3）系统信息

5.事件日志

（1）系统日志

（2）应用程序日志

（3）安全日志

（4）应用程序和服务日志

6.数字时间取证

（1）系统时间

（2）时间取证的基本判断规则

（3）访问时间的证据效力

7.电子数据时间查询

（1）文件系统创建时间

（2）操作系统时间

---

一、电子数据取证基本概念

1.电子取证学

为了打击网络犯罪而生，是计算机学科与法学学科交叉的学科

2.常规取证

有调查取证权的组织或者个人为了查明案件事实的需要，向有关单位或个人依法进行调查和收集证据。

3.洛卡德物质交换原理

没有真正完美的犯罪，只有未被发现的线索，犯罪者，必留痕，每一个犯罪行为都会留下痕迹，电子数据同样遵循这个原理

4.电子数据范围

电子文件:网页、博客、微博客、朋友圈、贴吧、网盘等网络平台发布的信息; 手机短信、电子邮件、即时通信、通讯群组等网络应用服务的通信信息; 用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息; 文档、图片、音视频、数字证书、计算机程序等

5.电子数据取证的概念和目的

把数字证据转换为报告形式的过程，为法庭审判提供合法的证据

6.电子数据取证过程

（1）证据收集

注意电子数据的脆弱性

（2）数据获取

一定要保证原始数据

（3）数据分析

（4）取证报告

二、Linux系统取证

1.基本信息获取

系统版本信息，用户/用户组信息，网络信息（端口，路由，防火墙），系统运行状态（任务计划，进程信息，服务信息）

（1）获取系统基础信息

#1.系统发行版本信息（过时）
uname -a 
​
#2.系统发行版本信息（过时）
lsblk 
lsb_version
cat /etc/issue #在ubuntu中查看系统发行版本信息
cat /etc/redhat-release #在CentOS7中查看系统发行版本信息

（2）用户/用户组信息

cut -d:-f1 /etc/passwd
cut -d:f1 /etc/group

（3）网络信息

#1.IP信息
ip a show
​
#2.路由信息
ip route
​
#3.端口信息
ss-antp/netstat
​
#4.防火墙规则
iptables -L

2.系统运行状态

（1）任务计划

cat /etc/crontab
cat /var/spool/cron/USERNAME

（2）进程信息

ps -aux #a：与终端相关的进程，u：以用户为中心组织进程状态信息显示，x：与终端无关的进程
ps -ef #e：显示所有进程，f：显示完整格式程序信息

（3）服务信息

systemctl list-units --type=服务    #显示所有已经启动的服务
systemctl list-units -t service -a      #所有开启和关闭的
systemctl list-units -files -t service -a    #开机不启动，但是可以被另一个服务激活
cat /urs/lib/systemd/system    #服务目录

2.日志分析

在Linux中，日志是通过syslog记录的，在centos中被rsyslog代替，但是功能相同

rsyslog配置文件

/etc/rsyslog.conf

日志分为三类日志

（1）系统接入日志

根据日志追踪到谁在何时登录系统

/var/log/wtmp和/var/run/utmp #[telnet,ssh等程序会更新wtmp和utmp文件]

（2）进程统计日志

分析系统使用者对系统进行的配置以及对文件进行的操作

（3）错误日志

/var/log/messages

3.常用日志文件

（1）文本日志

/var/log/boot.log     #系统引导过程信息
/var/log/cron  #任务计划日志
/var/log/maillog #邮件日志
/var/log/messages #多个进程日志汇总
/var/log/secure #记录安全相关信息，主要是认证，权限使用等相关信息
/var/log/audit/audit.log #记录系统安全审计信息，尤其是SElinux安全审计信息

（2）二进制日志

/var/log/laslog  #记录最近成功登录时间和最后一次不成功登录时间
/var/log/wtmp #永久记录每个用户登录、注销以及系统的启动、停机事件
/var/log/utmp #该日志文件记录有关当前登录的每个用户信息

4.应用日志

（1）Apache服务日志

/var/log/httpd/access.log  #客户系统访问记录
/var/log/httpd/error.log   #所有出错记录

（2）CUPS打印系统日志

/var/log/cups/access_log
/var/log/cups/error_log

（3）Samba日志

ls /var/log/samba

（4）其他日志

/var/log/mysqld.log
/var/log/yum.log