目录
一、电子数据取证基本概念
1.电子取证学
为了打击网络犯罪而生,是计算机学科与法学学科交叉的学科
2.常规取证
有调查取证权的组织或者个人为了查明案件事实的需要,向有关单位或个人依法进行调查和收集证据。
3.洛卡德物质交换原理
没有真正完美的犯罪,只有未被发现的线索,犯罪者,必留痕,每一个犯罪行为都会留下痕迹,电子数据同样遵循这个原理
4.电子数据范围
电子文件:网页、博客、微博客、朋友圈、贴吧、网盘等网络平台发布的信息; 手机短信、电子邮件、即时通信、通讯群组等网络应用服务的通信信息; 用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息; 文档、图片、音视频、数字证书、计算机程序等
5.电子数据取证的概念和目的
把数字证据转换为报告形式的过程,为法庭审判提供合法的证据
6.电子数据取证过程
(1)证据收集
注意电子数据的脆弱性
(2)数据获取
一定要保证原始数据
(3)数据分析
(4)取证报告
二、Linux系统取证
1.基本信息获取
系统版本信息,用户/用户组信息,网络信息(端口,路由,防火墙),系统运行状态(任务计划,进程信息,服务信息)
(1)获取系统基础信息
#1.系统发行版本信息(过时) uname -a #2.系统发行版本信息(过时) lsblk lsb_version cat /etc/issue #在ubuntu中查看系统发行版本信息 cat /etc/redhat-release #在CentOS7中查看系统发行版本信息
(2)用户/用户组信息
cut -d:-f1 /etc/passwd cut -d:f1 /etc/group
(3)网络信息
#1.IP信息 ip a show #2.路由信息 ip route #3.端口信息 ss-antp/netstat #4.防火墙规则 iptables -L
2.系统运行状态
(1)任务计划
cat /etc/crontab cat /var/spool/cron/USERNAME
(2)进程信息
ps -aux #a:与终端相关的进程,u:以用户为中心组织进程状态信息显示,x:与终端无关的进程 ps -ef #e:显示所有进程,f:显示完整格式程序信息
(3)服务信息
systemctl list-units --type=服务 #显示所有已经启动的服务 systemctl list-units -t service -a #所有开启和关闭的 systemctl list-units -files -t service -a #开机不启动,但是可以被另一个服务激活 cat /urs/lib/systemd/system #服务目录
2.日志分析
在Linux中,日志是通过syslog记录的,在centos中被rsyslog代替,但是功能相同
rsyslog配置文件
/etc/rsyslog.conf
日志分为三类日志
(1)系统接入日志
根据日志追踪到谁在何时登录系统
/var/log/wtmp和/var/run/utmp #[telnet,ssh等程序会更新wtmp和utmp文件]
(2)进程统计日志
分析系统使用者对系统进行的配置以及对文件进行的操作
(3)错误日志
/var/log/messages
3.常用日志文件
(1)文本日志
/var/log/boot.log #系统引导过程信息 /var/log/cron #任务计划日志 /var/log/maillog #邮件日志 /var/log/messages #多个进程日志汇总 /var/log/secure #记录安全相关信息,主要是认证,权限使用等相关信息 /var/log/audit/audit.log #记录系统安全审计信息,尤其是SElinux安全审计信息
(2)二进制日志
/var/log/laslog #记录最近成功登录时间和最后一次不成功登录时间 /var/log/wtmp #永久记录每个用户登录、注销以及系统的启动、停机事件 /var/log/utmp #该日志文件记录有关当前登录的每个用户信息
4.应用日志
(1)Apache服务日志
/var/log/httpd/access.log #客户系统访问记录 /var/log/httpd/error.log #所有出错记录
(2)CUPS打印系统日志
/var/log/cups/access_log /var/log/cups/error_log
(3)Samba日志
ls /var/log/samba
(4)其他日志
/var/log/mysqld.log /var/log/yum.log