13、计算机取证：数据提取与隐藏证据探寻

计算机取证：数据提取与隐藏证据探寻

一、密码破解程序的合法用途及日志审查

密码破解程序有其合法用途。例如，当网络管理员突然离职、被解雇或去世时，密码破解程序可以让授权人员访问管理员账户。

除了上述情况，还有其他一些日志可用于辅助调查，以发现计算机活动的证据：
|操作系统|日志存储位置|
| ---- | ---- |
|旧版Windows操作系统|C:\Windows\Security\Logs目录|
|Windows Vista和Windows 7|c:\Windows\Logs目录|
|Linux|/Var/Log/目录（包含所有允许的root访问和所有拒绝访问的记录），其他日志存储在/Var/Adm/Syslog、/Var/Admmessages和/Var/Adm/Kernel|

日志文件也存在于路由器和入侵预防与检测系统中，因此在取证调查中，应准备检查所有这些文件。在审查安全日志以追踪破解管理员密码的尝试时，要留意以下可疑项：
- 长串随机字符的条目
- 密码更改
- 重复出现的三个点（…）

这些都是可疑迹象，会提醒取证调查人员深入挖掘。要仔细查看所有日志文件，以确保了解系统发生的情况。

graph LR
    A[开始调查] --> B{是否有破解管理员密码尝试?}
    B -- 是 --> C[查看日志找可疑项]
    C --> D[长串随机字符条目?]
    C --> E[密码更改?]
    C --> F[重复三个点?]
    D --