数字取证技术期末知识点总结

1.计算机一一计算机系统内与犯罪案例有关的数据信息

数字一一各种电子设备和网络中的数字化的与犯罪案例有关的数据信息

电子一一存储的电子化的反映有关案件真实情况的数据信息.

2.286破坏计算机信息系统罪：违反国家规定，对计算机信息系统功能进行删

除、修改、干扰，造成计算机信息系统不能正常运行的

3.拖库：黑客入侵有价值的网络站点，把注册用户的资料数据库全部盗走。

撞库：黑客将得到的数据在其它网站上进行尝试登陆。

密码独立，支持正版，win+L,下载杀毒软件，不可信软件装入虚拟机，不使用

公共无线

4.信息犯罪包括信息载体犯罪、信息运行犯罪、信息内容犯罪、信息价值犯

罪

特征：1犯罪时间模糊性、2犯罪空间虚拟性、3犯罪运行的数字性、4危害区

域跨域性、5犯罪现场的复杂性、6犯罪手段的多样性

内容：针对信息硬件基础设施的，针对信息运行安全的、滥用信息的、针对信

息价值的

5.285非法侵入计算机信息系统罪

286破坏计算机信息系统罪

287利用计算机进行传统犯罪

6.电子证据足指以电子形式存在的，借助信息技术、通信技术和电子设备形

成的，能够证明案件真实情况的数据和信息。

电子证据的特征：技术依赖性、形式复杂性、存储和传递隐蔽性、易于变

造性

7.取证和司法鉴定原则：

标准过程：不能改变原始证据；专门培训；完整记录；负责

依法无损全面及时

8.研究内容：

主机电子证据保全、恢复和分析技术---WinllexEnCase：

网络数据捕获和分析、网络追踪—WireSHARKNetXRaYsplunk；

主动取证；密码分析；电子取证法学研究

9.证据的可采用性标准

真实性、合法性、相关性

10.证据固定，硬件复制的要求

完整数据，复制传输单方向，数据校验单方向，数据校验功能SHA256、CRC、

MD5等技术

位的形式存在，硬盘擦除和格式化功能，坏扇区修复能力

11.易失性数据：正在运行还未写入硬盘，一旦关机就会消失且不可恢复的数

据，一般存在于寄存器、缓存或内存中，主要包括网络连接情况、正在运

行的进程状态等信息C

12.易失性证据的范畴：

日期时间命令进程套接字应用程序用户文件和剪贴板系统

13.易失性证据分级：

寄存器路由表临时文件系统硬盘离线R志网络拓扑备份

寄存器、Cache

路由表、进程表、

内核统计

临时文件系统

硬盘

离线日志、监视数据

物理配置、网络拓扑

备份介质、磁带等

低

14.操作系统安装时间InstallDate

事件“6005”记录事件日志启动时间，也可以认为是系统的启动时间。

事件“6006”记录事件日志停止时间，也可以认为是系统关闭时间。

事件“6008”记录异常关闭。

事件“6009”记录在启动过程中的操作系统版本和其他系统信息。

“0008”一行为用户最后登录时间，

“0018”一行为用户设置密码时间，

“0020”一行为账户过期时间

Windows正常关机时间ShutdownTime

15.前8个字节是evtx文件的魔数字符串"ElfFile”即日志文件的文件签名

每一条访问日志包括：访问时间、客户端IP、数据包提交方式、客户端访

问URL、服务器响应状态码等信息。

16.BIOS统的硬件配置信息，包括主板信息、BIOS释放时间、BIOS型号

ComputerName完整的计算机名

CurrentVersio

注册组织一RegisteredOrganization,

注册人一RegisteredOwner,

产品名称一ProductName,

安装路径一SystemRoot,

版本名称一CurrentVersion,

版本号一CurrentBuildNumber,

ServicePack版本号-CSDVersion,

持载设备列表MountedDovicos保存着曾经持载过府有各自固定卷名和内部

标识符的各种设备的列表MRU这个键保存着Windows的公用对话框历史记

录

17.通过分析回收站可以知道被删除文件的信息，包括原始路径、删除时间和

文件大小，可以利用它随时恢复文件2回收站目录中，每个删除文件都会

设立一个回收站记录文件，在本实验中，回收站位置为

℃:\$Recycle.Bin\<USERSID〉”。

在NTFS文件系统中，回收站以S1D（安全标识符）来区别不同用户的回收

站信息。以“翼”开头的文件为对应“$R”开头的文件的回收站记录文件,

当回收站被清空时，两个文件会被同时删除。

18.硬盘接口

硬盘接口分为电源接口和数据接口两部分，根据联接方式的差异，分为

IDE/EIDE接口、SCSI接口、SATA串口、IEEE1394,光纤通道和USB。

PC用的是SATA,服务器用的是RAD1组成的高端SCSI硬盘及特殊的微型硬

盘、

19.FAT文件系统结构：MBR主引导记录DBR系统引导记录FAT文件分配表FDT

文件目录表DATA数据区

20.MBR主引导记录：一个物理硬盘有一个，。磁道0柱面1扇区，MBR占用

主引导删去的前446个字节（0toOxlBD）存放系统主引导程序

21.DBR系统引导记录，每一个逻辑磁盘，0柱1面1扇区，本分区的扇区总

数、FAT表个数等信息。完成DOS系统的自举

22.FAT和FDT

FAT记录了文件在磁盘上的具体位置，簇链，FDT中记录了文件的名字、起

始地址等信息，紧接着FAT2（即备份的FAT表）之后

我们向硬盘里存放文件时，系统首先会在文件分配表FAT内写上文件名称、

大小，并根据数据区的空闲空间在文件分配表上继续写上文件内容在数据

区的起始位置。然后开始向数据区写上文件的真实内容，一个文件存放操

作才算完毕。

23.FAT2的第1扇区位置一FAT1的第1扇区位置，记录FAT1的大小。

4621-1050

FDT的位置在FAT2之后，所以可以通过：FAT2的第1扇区位置+FAT1

的大小来得到FDT的起始位置，记录FDT的起始位置的逻辑扇区编号。

4621-1050+4621

24.我们向彼盘里存放文件时，系统首先会在文件分配表FAT内写上文件名称、

大小，并根据数据区的空闲空间在文件分配表上继续写上文件内容在数据

区的起始位置。然后开始向数据区写上文件的真实内容，一个文件存放操

作才算完毕。

25.NTES文件系统结构

文件按簇分配，不去关心什么是扇区，也不会关心扇区有多大

分区引导扇区、主文件表、NTFS系统文件、文件区

26.网络取证的特点

数据报和网络数据流动态的重建入侵过程分布式的网络监控

27.网络取证数据源

TCP/IP所有层一一网络数据流、联网设备、网安软件或设备

网络数据流一一口志文件数据主机防火墙网络监测

防火墙和路由器数据包被处理的日期时间、源和目的IP地址、传输层协

议、基本的协议信息NAT地址和端口映射

28.字符集是指文件的集合，对每一个文字都给予固定的内码

ASCII美国1个字节蓑文数字GB中国2个字节简体中文BIG5繁体中文2

个字节UNICODE世界语言2个字节

29.UTF-8：使用算法对UNICODE字符进行转换，英文一个字节，中文3个字节

30.数据编码：将数据转换成需要的格式

BASE643个字节变成4个字节，电子邮件

URLencode编码：HTTP协议中URL的参数传递空珞或者汉字,每个字节转

字符字符的含义十六进制值

+URL中+号表示空格%2B

URL中的空格可以用十号或者编

空格%20

码

/分隔目录和子目录%2F

\分隔目录和了目录%5C

?分隔实际的URL和参数%3F

%指定特殊字符%25

#表示书签%23

&URL中指定的参数间的分隔符%26

-URL中指定参数的值%3D

换成时加上16进制内码O句号_%2E

31.优先级：网络连接登录会话内存的内容运行的进程打开的文件网络的配置

操作系统的时间

32.协议分析：

探索与特定协议相关联的常见二进制/十六进制/ASCII码值

大部分协议会在特定的位置出现固定的数位序列

如“0x4500”往往标志着一个IPv4协议数据包的开始

直接查看tcpdump原始输出，也能找到IPv4数据包的开始

利用封装协议的信息

TCP/UDP端口号默认对应协议

分析源或目的服务器的功能

测试已知协议结构可能的信息

将wireshark自动解析有误的数据包强制按猜测的正确协议解析

eth.addr==00:21:70:4d:4f:aeandbootp只查看和MAC地址

000:21:70:4d:4f:ae"和"Bootstrap协议”有关的数据

35.网络流记录：关于流的一个信息子集，一条流记录包括源和目的IP、源和

目的端口、协议、口期、时间以及每个流传输的数据的大小。

36.流导出协议：

NetFlow——传感器通过缓存保持对所有活动网络流的跟踪。当一个数据流

处于结束或不再活动时，传感繇将其标志为“过期”状态，并将其导出成

“NetFlow”包，通过网络传给一个（或多个）收集器

1PE1X——1P流信息导出协议（IPFIX）继承自思科的NetElow协议,基于

NetFlowv9开发，主要扩展包括处理双向流报告、对相似性属性数据流冗

余的减少等。IPFIX支持的流记录可以通过模板进行扩展。数据收集器定义

将要导出的数据模板，发送给传感器，传感器在数据流到期时使用这个模

板将流数据导出给收集器。

sFlow一一sFlow是一种基于包采样提供网络可视性的标准，包抽样更能适

应高吞吐量的大型网络，但没被采样的数据包不会被记录。

37.流记录处理系统架构：

传感器一一用来监听指定网段的数据流，从中提取关键的信息保存为流记

录

收集器------个（或多个）被配置成监听流记录数据并将其保存至硬盘的

服务器

聚集器当使用多个收集器时，通常将收集到的数据汇总到一个中心节

点服务器进行分析

分析一一在流记录数据导出并集中存储之后，可以使用各种不同的商业、

开源或自定义工具对其进行分析

36.简单模式匹配

多对一的IP地址：多个IP发送大量数据到一个目的IP：针对目的IP地址的

分布式拒绝服务攻击、Syslog服务器、邮件服务器（绑定在目的IP地址上）

一对多的IP地址：一个IP向多个IP发送大量数据：Wob服务器、邮件服务器

（源端服务器）、垃圾邮件僵尸、文件服务器、网络端口扫描

多对多的1P地址：多个IP地址分散传输数据到多个IP：点对点文件共享传输、

大范围的病毒感染

一对一的IP地址：针对特定系统的有目标攻击、常规的服务器通信

当然上下文是关键。特定的端口、协议、时间信息和其他元素也可以帮助你进

一步明确流记录的含义

38.复杂模式匹配

“指纹识别”是指从复杂的流记录模式到特定活动的匹配过程，检测多个元素

及其上下文，得出合理猜测

比如TCPSYN端口扫描：一个源IP；一个或多个目的二P；目标端口号会显著的

增长；在一段时间内数据包数量会显著的超出；使用的是TCP协议；发出数据

包的协议标志被设置为“SYN”.而不是完整的TCP连接

39.网络隧道：

功能性隧道：为实现特定功能的合法隧道1SL

加密性隧道：用于确保机密性和完整性的隧道IPsec

隐蔽通信性隧道：将要传输的IP流量嵌入到其他协议的数据域中进行传递

40.IPsec的两种模式

隧道模式：源/目标信息与原始载荷一起被加密

传输模式：取证人员仍然可以恢复出与隧道两端源和目的相关的证据

41.TLS加密

分析TLS加密的流量时，应该能在会话层找到加密数据

在TLS加密的流量中，网络层的细节（源/目标IP地址）以及传输层的细

节（源/目标TCP端口）都是明显可见的

拿到IP头部，可以利用基于流（flow-based）的分析，确定连接的日期、

时间、源、目标，以及任何一个时段的连接速度和数据流量

拿到传输层头部，还能确定连接的状态、连接的长度，并推断出应用程序

的类型

42.DNS隧道

常见主机名的请求或NULL记录之类的不常用类型的DNS请求，来判断是否

有DNS隧道

ip.src==192.168.1.30所有源地址为192.168.1.30的数据包,所有数据包

都是DNS协议信息dns.id==0x09a0得到此请求的回复数据包

dns.qry.type==10所有DNS包的类型都为NULL

我们猜测IP包经过某种形式的封装，通过D\SNULL记录被发送了出去。

通过寻找IP包“魔数”（magicnumber）来追查，IP包一般是以“0x4500”

打头的

•41P版本

•5——IPv4头部长度（5个32位的word,即20字节）

•00一一服务类型，已不再广泛使用，一般全填零

.docx是0x504b,即字符串PK

过滤器中输入“udpcontains45:00”

□分析IP头部第12・15字节（从0开始计数），得到

源地址；由16・19字节得到目标地址

■源地址：10.4.4.2

.■目标地址：10.4.4.1

♦evidence*network*tunneling<62x

OOOOOOOOh:4500006442F440004006DB9

OOOOOOlOh:|0A040401|X)16A9B8E3E6IkCBE5627F93；.

00000020h:80180794F8C800000101080A0003575D;€・・摘？…

00000030h：0003DO97939662E2CAB6E885356B7D2B；••帙溶D国倩?—

00000040b:1761513E24A78C36IC6792A0F2B0SAE6;.aQ>$6.g^$HZ?

OOOOOOSOh:71Bl2EAB31377ACA7933AD193B6D888F;q??7z猿3?:做

00000060h：423C3157BF272566

□IP头部长度：20字节

□IP包整个包长度：“0x0064”,即100字节

□将多余部分去掉

♦evidencenetwork-tunneling-62x

OOOOOOOOh：45002门40004006DB95

OOOOOOlOh:OA040016A9B8E3E61ACBE5IF93:.............I沔

00000020b:8018F8C800000101080A0003575D;€..食？...

00000030h：00039662E2CAB6E885356B7D2B；..帙涔匕①清?k)+

00000040b:176124A78C36IC6792A0F2B8SAE6:.aQ>$6.g旅纲Z?

00000050b:71Bl31377ACA7933AD193B6D888F;q??7zffi3?;m^

00000060h：423C；B<lW?%f

□IP包封装的协议类型

■第9个字节，由RFC762“编号分配”中定义

■“0x06”代表TCP

♦evidence-network-tunnding-62x

0

OOOOOOOOh:4500006442F44000DB95OA040102;E..

00000010b:OA040016A9B81ACBE5627F93；

00000020h：8018F8C80000010108OA0003575D；电.•梵？•・

00000030h:00039B9662E2CAB6E885356B7D2B;••秩游+

00000040h:176124kJ8C36IC6792AOF2Be5AE6;.aQ>$6.g^^HZ?

00000050h：715131377ACA7933AD193B6D838F；q??7zS3?；ttM

00000060b:423C；B<1W

口将20字节的IPv4头部去掉，剥离出TCP消息段

■TCP源端口:“0x0016”，即端口22,对应SSH协议

■TCP目标端口:“0xA9B8”，即端口43448,这是一个

未分配端口

■默认情况下，SSH服务器使用22端口进行监听，SSH客

户端在客户端发送流量时使用一个临时端口

♦evidencenetwork-tunneling62x

1

00000000h:|0016A9B8E3E61ACBE5627F9380160794兀川沔.隋匕

00000010b:F8C800000101080A0003575D0003DO97;・・・••・・•").■

00000020b:9B9662E2CAB6E88S356B7