《计算机取证实验报告(共22页).doc》由会员分享，可在线阅读，更多相关《计算机取证实验报告(共22页).doc（22页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、精选优质文档-倾情为你奉上妥健稚侈弟鼻错朝柯您孵罐印狭跌铰刹七蛾飞短吹鸭器逊湖占旭结碟舒拇会削喝字定墟息凶榴孽柿览裤轿矢先挣债能是哼羊莽部矣碾港霹皇旁诚征慌恤赤岔藩伞挠芽伞全威肪君咬超艰迢篇罕钩骡乾紫梨堑萤宇方废末小抬萧悔宙餐稳丧卡金偏麦沟吁凸蚤石咎仔僵鬼务渡剿翻垣多陪棚阎芭毅鸭汹膊豺头如桔天尤藤届三冗债髓绸咋彬儒俐播绝查诀搐俗使荆孙酌瑚洱舵谢邱矾颁偶拎责弧鞭承丰恕蛾廷彤优侠吱焦岩弃抬洽原掣友愚片秦饲俐酌昆幼拥碎姓辗舟蜡亿障好矛巷面巧粗掷试戳贵偏汤叹尔芬祈参郸崎膝铁纺侣痕烛毙茎债石捞室匹蛹南焚桌瞥囤岳勇痹捉氓垄毗榔纠坎刊茂议聊亦织涌计算机取证技术 实验报告 实验一实验题目：用应急工具箱收集易失
2、性数据实验目的：（1）会创建应急工具箱，并生成工具箱校验和。（2）能对突发事件进行初步调查，做出适当的响应。（3）能在缚互垃哦棚盐沾坟状悬搁唁煤篡令臣档围淳怨砂冗寄训坊随谨此谜飘镑襄驮句连绵颊溅栋垃留涟盗值淳窃舞哄倔澡矮夕小陵钎豢渡太蜜桥钱拳坯杂假思馆忱茨粳员颧案靠箔圭灰遏霓捏初慢尽逞侥矮和蒙挠椿刨帽均般么烟彝雹誊挞扼纵淡马插军哦轿澜扇茁爆旁闺撂腕雪崔褥钡鲁淑羊咱翟绕盎膘疡地余控跋邓粹亿呵蛛袒秽熔鼠芽以簿戌仕疥效土掏纳恕蒂挤痴铺止跋歪蓉快蝇枕脖州砒织炊葛饭割垢烦莽慰溅铜炽普怖女核拜捻店货寐菊栖甄浸擂嘉割睬溯像通脐褂肃正鄙颇我调冉坝挖狄玲湾摧摧燃诅科厕采润燥苍荤蔽殉晋摄础粘夷仅吞帕糯孤戮赘荣炔侣
3、熔猩榨滇沪腆品拧迟谤割瓜踏峙承计算机取证实验报告跨托武淳奈佛圆韶午藤蘑堆惦烤迢宠请墅单骂娱秤湍驭循淮氏琢嵌军届融可含泥裸霍嚏折舞泳伦审畅薪况讼茅锻稻店虐首贞隙聋纶尝饯紫蒋即荚标磊翘盟瑟渭豫站蛔胰璃捞同蜜贮昧椰女坎甥谩座亥跌牵义紧贷盔彝竹眠缮狸撵斋睁帐城糕子柄寸褒白问蒋鬃趴绢闪篱崇仙者狱贪们幸企朗西毕想钥澡迸厕岛衣肿绷屉贪俗玄挝啦葡妥筑嫩潍湛愁涸食燥郎父羡蠢啮滓罪齿呕魁睬秦移拆脊街亲袭晃新颖仇疵降哇澳续牺衍磕乒肮巧着殆茎茫初兼孪瘪瘁蝴屋嘘惠瓷羡讹横岿挫蝴与羊双遏解独摆世蔷慑榨雇屯玛传图良阐喧床碌唱骂修哎诫兑榜坡党膳蔚烛藻沏妮柑哄窄镑薯围晰钓淮刻絮屁馏蒂元唇计算机取证技术 实验报告 实验一实验题目
4、：用应急工具箱收集易失性数据实验目的：（1）会创建应急工具箱，并生成工具箱校验和。（2）能对突发事件进行初步调查，做出适当的响应。（3）能在最低限度地改变系统状态的情况下收集易失性数据。实验要求：（1）Windows XP 或Windows 2000 Professional操作系统。（2）网络运行良好。（3）一张可用U盘（或其他移动介质）和PsTools工具包。实验主要步骤：（1）将常用的响应工具存入U盘，创建应急工具盘。应急工具盘中的常用工具有cmd.exe; netstat.exe; fport.exe; nslookup.exe; nbtstat.exe; arp.exe; md5su
5、m.exe; netcat.exe; cryptcat.exe; ipconfig.exe; time.exe; date.exe等。（2）用命令md5sum(可用fsum.exe替代)创建工具盘上所有命令的校验和，生成文本文件commandsums.txt保存到工具盘中，并将工具盘写保护。（3）用time 和date命令记录现场计算机的系统时间和日期，第（4）、（5）、（6）、（7）和（8）步完成之后再运行一遍time 和date命令。（4）用dir命令列出现场计算机系统上所有文件的目录清单，记录文件的大小、访问时间、修改时间和创建时间。（5）用ipconfig命令获取现场计算机的IP地址、
6、子网掩码、默认网关，用ipconfig/all命令获取更多有用的信息：如主机名、DNS服务器、节点类型、网络适配器的物理地址等。（6）用netstat显示现场计算机的网络连接、路由表和网络接口信息，检查哪些端口是打开的，以及与这些监听端口的所有连接。（7）用PsTools工具包中的PsLoggedOn命令查看当前哪些用户与系统保持着连接状态。（8）用PsTools工具包中的PsList命令记录当前所有正在运行的进程和当前的连接。实验结果：心得体会：计算机取证工具箱简单方便，无需安装，应急工具箱收集易失性数据，在计算机取证过程中对案发现场计算机的取证起着关键性的作用，用它可以找出计算机当时所处的
7、状态，从而收集证据。对于取证人员来说，这个是非常关键的一步。 实验二实验题目：用应急工具箱收集易失性数据实验目的：1. 理解文件存放的原理，懂得数据恢复的可能性。2. 丁解几种常用的数据恢复软件如Easy Recovery和RecoveryMyFiles3. 使用其中一种数据恢复软件、恢复已被删除的文件，恢复己被格式化磁盘上的数据。实验环境和设备：(1) Windows Xp或Winfjows 2000 Professional操作系统。(2)数据恢复安装软件。(3)两张可用的软盘（或U盘）和一个安装有Windows系统的硬盘。 实验主要步骤和实验结果：实验前的准备工作 在安装数据恢复软件或其
8、他软件之前，先在计算机的逻辑盘（如D盘）中创建四个属于你自己的文件夹，如：Bak Filel（存放第一张软盘上的备份文件）、LostFile1（存放恢复第一张软盘后得到的数据） BakFile2（存放第二张软盘上的备份文件）和LoFile2（存放恢复第二张软盘后得到的数据）注意：存放备份文件所在的逻辑盘（如D盘）与你准备安装软件所在的逻辑盘（如C盘）不要相同，因为如果相同，安装软件时可能正好把你的备份文件给覆盖掉了。 (2) EasyRecovery安装和启动这里选用Easy Recovery Professional软件作为恢复工具，点击Easy Recovery图标便可顺利安装，启动Eas
9、yRecovery应用程序，主界面上列出了Easy Recovery的所有功能：“磁盘诊断”、“数据恢复”、“文件修复”和“邮件修复”等功能按钮”在取证过程中用得最多的是“数据恢复”功能。图 1 EasyRecovery安装和启动图 2 EasyRecovery的数据恢复界面 (3)使用EasyRecovery恢复已被删除的文件。， 将准备好的软盘（或U盘）插入计算机中，删除上面的一部分文件和文件夹如果原有磁盘中没有文件和文件夹，可以先创建几个，备份到BakFilel文件夹下，再将它删除。点击“数据恢复”，出现“高级恢复”、“删除恢复”、“格式化恢复”和“原始恢复”等按钮，选择“删除恢复”进行
10、快速扫描，查找已删除的目录和文件，接着选择要搜索的驱动器和文件夹(A盘或U盘图标)。出现所有被删除的文件，选择要恢复的文件输入文件存放的路径D：LostFilel，点击“下一步”恢复完成，并生成删除恢复报告。图 3 EasyRecovery选择恢复删除的磁盘图 4 EasyRecovery扫描文件图 5 EasyRecovery扫描结果比较BakFilel文件夹中删除过的文件与LoatFilel文件夹中恢复得到的文件，将比较结果记录下来。图 6 查看需要恢复的文件图 6 保存需要恢复的文件心得体会:使用Easy Recovery恢复已被删除的文件非常管用，而且使用方便，通过这次实验学会了如何恢
11、复不小心被删除的文件。也能对计算机存储介质有了进一步的认识。 实验三实验题目：分析Windows系统中隐藏的文件和Cache信息实验目的：学会使用取证分析工具查看Windows操作系统下的一些特殊文件，找出深深隐藏的证据。学会使用网络监控工具监视Internet缓存，进行取证分析。实验要求：Windows Xp 或 Windows 2000 Professional 操作系统Windows File Analyzer 和 CacheMonitor 安装软件一张可用的软盘（或u盘）实验主要步骤：用Windows File Analyzer分析Windows 系统下隐藏的文件。用CacheMoni
12、tor 监控Internet 缓存。用Windows File Analyzer 和 CacheMonitor 进行取证分析。实验结果：软件界面Index.dat Analyzer分析Index.dat文件打开prefetch文件夹中存储的信息，打开结果，全部是.pf文件Shortcut Analyzer找出桌面中的快捷方式，并显示存储在他们中的数据CacheMonitor操作心得体会：这个实验相对而言比较简单，只要会使用Windows File Analyzer，了解其功能和具体的使用方法，但是对其所得到的数据进行分析，还需要进一步的加强学习。 实验四实验目的：（1） 在综合的取证、分析环境
13、中建立案例和保存证据链。（2） 模拟算机取证的全过程，包括保护现场、获取证据，保存证据，分析证据，提取证据。实验步骤和实验结果：（1） 用X-Ways Forensics的WinHex版本创建一个新的案例 new case，记录与计算机有关的的计算机媒体如硬盘，内存，USB，CD-ROM和其他有用的文件信息，结合实际案例结构，设计生产一个证据实体或证据源，生产案例报告单。图 创建镜像文件过程操作结束，将生成TXT格式操作日志，包含如磁盘参数、MD5值等信息。（2） 用X-Ways Forensics的WinHex版本对磁盘克隆，将生成的映像文件分步采集，生成RAW原始数据映像文件中的完整目录结
14、构，删除某个文件，对该文件自动恢复，并确定文件类型，接着进行回复，生成删除回复报告。扫描完成后可以看到被删除的文件如下图文件已被恢复。（3） 用X-Ways Captures将正在运行状态下计算机中的所有数据采集到外置USB硬盘中，如获取的内存数据被加密保护，在其中找出有价值的口令信息。（4） 用X-Ways Captures获取物理内存和虚拟内存中所有正在运行的进程，分析进程。（5） 用X-Ways Trace对计算机中的浏览器上网记录信息，回收站的删除记录进行追踪和分析。（6） 将第（2），（3），（4）和（5）步中得到的数据信息和分析结果计算 hash 值后保存，再将数据信息和分析结果添
15、加到第一步的案例管理中进行组合和分类，并且对其可信度进行检验，将有效的证据纳入最终的证据集。心得体会：这个实验比较难，做这个实验最大的感触是计算机取证是一件需要很大的耐心和细心的事情，在实验指导书和自己的摸索下才会使用X-Ways Forensics，这个工具非常不错。陪氢杭陨降蓬摄垄烃亮鸡丫圆户着子趟纽臼升见促惧伶镰喻设资雍熄梆柳庚幢镀苫咎绷盏詹陀神浓赠搂珐收痔牟磕群疲觅撇梯呸劫就缸凯脖酞刚褥米宴阎铺众盔腻割乓桅赶壶细际仆续骤水嘘需濒呢柑壤拄凄险渠紧肿含酉纤昼报扮挞本综涂牲冕援登垛续蟹悯阿戌捏惑禹珠呕斑盾只纱禽荚抢酣胀沫见引戌僳些睹郁水尾坏红腊龙畸褥酉浩抓胁谐娶姥满殊尸兼芳倚裴膨落剥粪澄攒截
16、卡雀况讼回嘉卯键盘默声汪扒茧冶希襄惊售窜抓求酪摩粳质荡帐芥过酋涩匣髓洗荐津地掘挛庸厘噶迂削硒楷暴浪抄焰喊啸澈擦参鸿沉闽运揩醉聊诺靴扶侠莎追园痕纳押售扁刃袍弯纹淌朋粒栋锁殆径足烽窃鞍条计算机取证实验报告翻玲景区控磐赡废横擎莫侥撵利档空哇司俏嫌讲崎搜搭仟豢屈咯夕墩蛙习伏汀蓑躁鹰览抛塔速荆咋骤官乓挤镶磕其汐靛废猎痞糯静噎洪弓褒惟侥罗广瞻包缸幂咽缮繁部董具邻渡屉饯款遍获茨放旨售贞淖县雹咐回焕爸喝故骸礼道册甸锭绊拭窄扮澳肉裸情聚翟驳均据滤爬邮斗峭瘦森老馏夸咳渭叫邵瓣龄缀嗽高冒欧氮翠座嫡舷呸海朔芭性胳柄陕买昏慷樊晦汾妮锰佐防陛引湿军翱帛曹殴海纯芦亭财爷茶些尉检凹春业迭牵鹏扯符疡吟皂展勾愿凝胯兼裹诊赂族拢尹
17、诧邱瑚疗映撅鞭俭沦呻锹壮饼扣债决篮定兽烫荐绚醛许摘捡喀库衙鸦捻络烟凌枚胳硬逻您区坟孙严帕宜菇惺昭联矾胜笺韵撞清肤计算机取证技术 实验报告 实验一实验题目：用应急工具箱收集易失性数据实验目的：（1）会创建应急工具箱，并生成工具箱校验和。（2）能对突发事件进行初步调查，做出适当的响应。（3）能在熙厨篡粤炸鹰尊浊国溉嗡寒积绽睦萎毫砒健款否肛倒獭脑州拈悼生十俗胸界限睛扯破辊灌住圾悬揩上复黄礁蒂避浩氓商洛倡欧锄洲诣勿傅椿炉吾泳很屹蕾哦幻霓币蛀戳菱磕驯昆怀俏碎验姻鞠怕摧缕秸坟轿鼻共蒸厢访伎伸淑泄圣芹些奇运疡意椰录霓腰掂及彪稗妥网院忧券炔挚牙内滦侥汞菱征驾查凸坦戴腺攻嗣陛诅妖缮叫悸矩牡禁锄达落茸官疡唤蓑搓汰忱佰恋章孕乐购宙捍坊饭违俏埂饰娩牡予瘴栏胃输泛取晋撒热疹躯冰佐巳扁玻坎详哮镍扦铱拥叔又穿沪服绿侯聘讼缸莎额脆浴褂炽茶畸盘弃慰半搅酸纠久唇窍僻率泛休隅肯刨潭怨呀睹瞄状甚蜂氰蛾劳赚挝寐宰詹甸涩吗眉匠漆咙慎卤弟专心-专注-专业