计算机取证简答题
1、在现场有一块 500GB SATA 硬盘、 一款智能手机(开机状态), 请简要描述从其获取到取证分析之间所注意的事项。
(1)获取时记录其具体位置
(2)必要时现场计算硬盘哈希值;硬盘放入证物袋,注意防磁等环境;手机注意开关机状态,放入屏蔽袋;
(3)准备一块不小于500GB的磁盘做目标盘
(4)注意手机品牌,操作系统、密码、配件
2、 在现场勘查时,发现有处于开机状态台式机,操作系统 winXP,阐述获取此证物从拍照到封存的整个操作过程,并举例列出在固定易丢失数据时应注意的数据形式。
(1)拍照记录电脑整体状态,屏幕显示内容,主机接口连接
(2)周边相关配件
(3)注意易丢失数据,注意加密容器、加密文件、QQ等即时通讯数据的固定;对一些关键数据、关键步骤应使用录像等方式记录,重要的文件计算MD5值
(4)固定易丢失数据后,直接拔电源断电关机
(5)封条注意电源及输出接口
3、 在现场勘查时,主要考虑到电子数据获取的完整性和有效性,试从完整性角度描述对正在运行的打印机、复印机的处理方式。
(1)现场录像、照相,记录现场原始状态,记录各设备之间的连线状态以及显示屏上正在提示的信息,如何在运行的程序是在格式化硬盘或者删除数据,应立即切断电源。
(2)对于正在编辑成显示状态的文本、图像证据,尽可能立即打印输出,并注明打印时间和打印机的型号等。
(3)制作现场笔录,绘制现场图
(4)收集证据,提取证据,固定证据
4.若相关信息被加密、删改、破坏、计算机病毒、黑客的袭扰等情况,该如何取证?
(1)解密。所需要的证据已经被行为人设置了密码,隐藏在文件中时,就需要对密码进行解译。在找到相应的密码文件后,请专业人员选用相应的解除密码口令软件。解密后,将对案件有价值的文件,即可进行一般取证;在解密的过程中,必要的话,可以采取录象的方式。同时应当将被解密文件备份,以防止因解密中的操作使文件丢失或因病毒损坏。
(2)恢复。大多数计算机系统都有自动生成备份数据和恢复数据、剩余数据的功能,有些重要的数据库安全系统还会为数据库准备专门的备份。这些系统一般是由专门的设备、专门的操作管理组成,一般是较难篡改的。因此,当发生网络犯罪,其中有关证据已经被修改、破坏的,可以通过对自动备份数据和已经被处理过的数据证据进行比较、恢复,获取定案所需证据。
(3)测试。电子证据内容涉及电算化资料的,应当由司法会计专家对提取的资料进行现场验证。验证中如发现可能与软件设计或软件使用有关的问题时,应当由司法会计专家现场对电算化软件进行数据测试(侦查实验)。主要是使用事先制作的测试文件,经测试确认软件有问题时,则由计算机专家对软件进行检查或提取固定。
5.常见的易失性数据有哪些?什么情况下需要获取易失性数据?
1.1系统日期和时间。
1.2当前运行的活动进程。
1.3当前的网络连接
1.4当前打开的端口
1.5在打开的套接字上监听的应用程序
1.6当前登录的用户列表
1.7剪贴板数据。
2.1判断易失数据的价值;
2.2联机对易失数据的破坏程度;
2.3确定联机调查的具体方法和必要的调查范围。
6、简述计算机取证与司法鉴定的三大技术,它们保证了计算机取证与司法鉴定既能定性又能定量且可以随时精确重现。
只读、克隆和校验技术
只读技术保护电子数据不被更改,从而保证检材数据的原始性
位对位的克隆技术保证检材数据的完整复制及鉴定过程的精确重复;
校验技术既能辅助克隆技术精确重复鉴定过程,又能够用于电子证据的保全,知识产权鉴定等
7、在现场勘查时, 发现有处于开机状态台式机, 操作系统为 Linux。为了保护现场,第一要务为获取现场证据,保存数据,尤其是那些容易被改变的数据。试分析如何收集获取屏幕信息,内存信息、硬盘信息、进程信息和网络连接信息。
(1)最优先的步骤是利用照相设备或录像设备记录屏幕信息,如果没有准备好图像记录设备,当系统处于控制台模式时,可以直接利用管道命令将输出的内容保存到文件中。可以用setterm进行截图。
(2)内存与硬盘信息:首先使用fdisk可以查看硬盘情况。然后使用mount将自己的硬盘挂载上去,最后使用dd命令将该信息存储到自己的移动硬盘中。
(3)进程信息:使用who查看当前登录的用户、w与who相似是who的增强版、ps查看进程,top与ps相似但一个动态显示过程。
(4)网络连接信息:可以使用netstat查看网络连接情况、路由表和网络接口信息。
8、如果数字取证中嫌疑人经常使用浏览器访问互联网,那么以互联网行为为主线,可以从
哪些方面获取相关证据信息,这些信息能证明什么?写出网络轨迹都有哪些?
网站访问下拉列表、网站访问的历史记录、网站收藏夹,此外,还可以从以下几个地方获取信息:
(1)cookies,cookies 一般保存在 index。Dat 里面,包括 URL 信息访问日期时间,用户
名等信息
(2)临时文件(网页缓存),会显示如“最近一次访问的时间”在 TIF 中
(3)历史记录,分成按日期、星期、月份,在 index.dat 显示访问的 URL 和时间
(4)注册表,ntuser.dat 文件中,有近期访问的 URL,键的名称按时间顺序排列。
9、以原则规范计算机取证是保证电子证据可采性的关键,试简述由加拿大、法国等八国计
算机取证人员组成的 G8 小组提出的计算机取证原则。
(1)必须应用标准的取证与司法鉴定过程。
(2)获取证据时所采用的任何方法都不能改变原始证据。
(3)取证与司法鉴定人员必须经过专门培训。
(4)完整地记录证据的获取、访向、存储或传输的过程,并妥善保存这些记录以备随时查阅。
(5)每位保管电子证据的人员必须对其在该证据上的任何行为负责。
(6)任何负责获取、访问、存储或传输电子证据的机构有责任遵循以上原则。
10、和系统取证不同,网络取证通过对网络数据流的分析获取非法利用、入侵行为。试从多 角度分析网络取证的特点。
(1)主要研究对象与数据报(packets)或网络数据流(Network Traffic) 有关,而不仅仅局限于计算机;
(2)为满足证据的实时性和连续性,网络取证是动态的,并且结合入侵前后的网络环境变量,可以重建入侵过程;
(3)为保证证据的完整性,网络取证有时是分布式的,需要部署多个取证点或取证代理(Agent),而且这些取证点是相关和联动的;
(4)为实现网络取证,通常需要与网络监控(Network Monitoring)相结合。
11、简述时间戳的作用及生成方法。
时间戳作用:对数字对象进行登记,提供注册后特定事物存在于特定日期的时间和证据。
➢证明数字证据在特定时间和日期是存在的。
➢从该时刻到出庭这段时间不曾被修改过。
时间戳生成:
用户首先将需要加时间戳的文件用Hash编码加密形成摘要;
将该摘要发送到DTS;
DTS 在加入了收到文件摘要的日期和时间信息后再对该文件加密(数字签名)然后送回用户。
12、网络取证通过对网络数据流的分析重建入侵过程,简述网络取证的要点。
针对黑客入侵过程的特点,网络取证的重点在于:
周界网络(Perimeter Network) :指在本地网的防火墙以外,与外部公网连接的所有设备及其连接;
端到端(End-to-End) :指攻击者的计算机到受害者的计算机的连接;
日志相关(Log Correlation) :指各种日志记录在时间、日期、来源、目的甚至协议上满足- -致性的匹配元素;
环境数据(Ambient Data) :指删除后仍然存在,以及存在于交换文件和slack空间的数据;
攻击现场(Attack Scenario) :将攻击再现、重建并按照逻辑顺序组织起来的事件。
13、简述 5 种常见的木马自启动方式
添加在注册表RUN项中、添加在启动组中、添加在文件关联中、添加在其他应用程序中、添加在系统服务中、欺骗自启动。
14、在取证过程,常用的数据恢复方法有哪些
引导扇区恢复:
Linux下主引导记录的恢复
备份主引导记录:
dd if=/dev/sda of=./mbr.bak bs=512 count=1
恢复主引导记录:
dd if=/boot/mbr.bak of=/dev/sda bs=512 count=1
如果你仅仅要恢复分区表DPT
dd if=/boot/mbr.bak of=/dev/sda bs=1 skip=446
count=64
判断我们备份是否正确的方法是查看备份文件mbr.bak是否为512字节,且结束字节为55 AA。
DOS下的Fdisk
分区表的恢复
使用工具(DiskEdit)自动重建分区表
DBR恢复
分区引导扇区也称DBR,是由FORMAT高级格式化命令写到该扇区的内容,DBR是由硬盘的MBR装载的程序段。DBR装入内存后,即开始执行该引导程序段,其主要功能是完成操作系统的自举并将控制权交给操作系统
●每个分区都有引导扇区,但只有被设为活动分区的DBR
才会被MBR装入内存运行。
●直接Format恢复DBR (不能恢复数据)
●DiskEdit:备份正确的DBR,然后用该备份做恢复;如果备份的DBR损坏了,只能从相同文件系统的分区复制一个DBR (代码是一样的),然后修改参数(不同分区,FAT 表长度、簇大小、分区长度等参数不同),否则不能访问该驱动器,不能正确访问文件
●WinHex
NTFS:在分区结尾备份有DBR,复制到DBR扇区即可;如果没有备份的DBR,通过复制正常NTFS分区的DBR并更正参数修复
零磁道损坏的修复
使用工具使0磁道往后稍移一点(逻辑移, 不是物理移动),
让1磁道替代0磁道,即让硬盘从1磁道开始使用,不再使用0磁道,该磁盘就可以复活
了。DiskEdit、Disk Genius:改后存盘退出,重启系统用“Format”格式化硬盘,完成即可工作。
磁道坏道的恢复
修复逻辑坏道(因软件操作或使用不当造成) :使用Windows下的磁盘扫描工具。
修复物理坏道
(1)用ScanDisk检查物理坏道:只能将其标记为坏道,以后不再以这块区域进行读写操作。
(2)用软件隐藏物理坏道: Partition Magic在不破坏数据的情况下,对硬盘重新进行分区、格式化分区、动态改变分区大小、改变分区的文件格式、将坏道单独分区并隐藏起来,以免在Windows中误操作。
(3)低级格式化修复坏道:重新划分磁道、扇区;时间长,对硬盘造成剧烈磨损;彻底擦除硬盘中所有数据;低级格式化后还需高级格式化。
(4)使用Wipe Info(硬盘数据擦除软件)修复坏道:将硬盘上的所有数据逐字节擦除,并根据情况重写标记为坏道的部分,达到修复坏道的目的。