学习笔记第三章

学习笔记第三章

Windows验证方法
与linux不同，Windows没有内置的数字取证哈希算法工具，很多Windows第三方程序都有多种内置工具。这些第三方程序从十六进制编辑器(如X Way WinHex或断裂点软件十六进制讲习班)到取证程序(如ProDiscoverer、Enase和FTK)。在第9章中，您将了解如何通过使用十六进制编辑器查找和验证没有文件关联或文件中的节的数据组来散列特定数据。
商业鉴证程序也有内置的验证功能。每个程序都有其专有格式的采集数据使用的向下验证技术。例如，ProDiscover.eve文件包含获取文件中的元数据或分段文件，包括可疑驱动器或分区的哈希值。将图像数据加载到ProDiscoverd中，然后将其与存储的元数据中的散列值进行比较。

如果哈希没有匹配，ProDiscover会通知您获取信息已经损坏，不能被视为可靠的证据。此功能称为“自动验证图像校验和”。
然而，在ProDiscoverand许多其他的取证工具中，原始格式的图像文件并不包含元数据。如前所述，建议对分析时的所有RAWAcquipment单独进行手动验证。以前生成的原始格式获取的验证文件对于数字证据的完整性至关重要。保存的验证文件可以稍后使用，以检查获取文件是否仍然良好。
在FTK Imager中，当您选择ExpertWitness(.e01)或SMART(.so1)格式时，将显示其他验证选项。此验证报告还列出了MD5和SHA-1哈希值。MD5哈希值被添加到专有格式图像或被分割的文件中。当将此映像加载到FTK、SMART或X-WaysForensics(只能读取.e01和原始文件)时，将读取MD5哈希，并将其与图像进行比较，以验证获取是否正确。
您可以在网上找到其他开源哈希工具；只需搜索“WindowsOpenSource散列”即可找到最新可用的Windows哈希工具。例如，最近一次搜索发现了SourceForge md 5深度，网址是http：//md5深处.SourceForge.net和SoftwareInversion atbttp:/lsoftwaresolution.informer.comlHash-Tool.。