计算机取证实验报告(20210806224115).pdf

计算机取证技术实验报告 实验一 实验题目：用应急工具箱采集易失性数据 实验目的：（1）会创立应急工具箱，并生成工具箱校验和。（2）能对突发事件进行初步检查，做出适合的响应。（3）能在最低限度地改变系统状态的状况下采集易失性数据。实验要求：优选文库 （1）Windows XP 或 Windows 2000 Professional 操作系统。（2）网络运转优秀。（3）一张可用 U 盘（或其余挪动介质）和 PsTools 工具包。实验主要步骤：（1）将常用的响应工具存入 U 盘，创立应急工具盘。应急工具盘中的常用工拥有 cmd.exe;netstat.exe;fport.exe;nslookup.exe;nbtstat.exe;arp.exe;md5sum.exe;netcat.exe;cryptcat.exe;ipconfig.exe;time.exe;date.exe 等。（2）用命令 md5sum(可用 fsum.exe 代替)创立工具盘上所有命令的校验和，生成文本文件 commandsums.txt 保留到工具盘中，并将工具盘写保护。（3）用 time 和 date 命令记录现场计算机的系统时间和日期，第（4）、（5）、（6）、（7）和（8）步达成以后再运转一遍 time 和 date 命令。（4）用 dir 命令列出现场计算机系统上所有文件的目录清单，记录文件的大小、接见时间、改正时间和创立时间。（5）用 ipconfig 命令获得现场计算机的 IP 地点、子网掩码、默认网关，用 ipconfig/all 命令获得更多实用的信息：如主机名、DNS 服务器、节点种类、网络适配器的物理地点等。（6）用 netstat 显示现场计算机的网络连结、路由表和网络接口信息，检查哪些端口是翻开的，以及与这些监听端口的所有连结。（7）用 PsTools 工具包中的 PsLoggedOn 命令查察目前哪些用户与系统保持着连结状态。（8）用 PsTools 工具包中的 PsList 命令记录目前所有正在运转的进度和目前的连结。实验结果：-2 优选文库 -3 优选文库 心得领会：计算机取证工具箱简单方便，无需安装，应急工具箱采集易失性数据，在计算 机取证过程中对案发现场计算机的取证起着重点性的作用，用它能够找出计算机当时所处的状态，进而采集凭证。关于取证人员来说，这个是特别重点的一步。-4 优选文库 实验二 实验题目：用应急工具箱采集易失性数据 实验目的：1.理解文件寄存的原理，懂得数据恢复的可能性。2.丁解几种常用的数据恢复软件如Easy Recovery 和 RecoveryMyFiles 3.使用此中一种数据恢复软件、恢复已被删除的文件，恢复己被格式化磁盘上的数据。实验环境和设施：(1)Windows Xp 或 Winfjows 2000 Professional 操作系统。(2)数据恢复安装软件。(3)两张可用的软盘（或 U 盘）和一个安装有 Windows 系统的硬盘。实验主要步骤和实验结果：实验前的准备工作 在安装数据恢复软件或其余软件以前，先在计算机的逻辑盘（如 D 盘）中创立四 个属于你自己的文件夹，如：Bak Filel（寄存第一张软盘上的备份文件）、LostFile1（存 放恢复第一张软盘后获得的数据）BakFile2（寄存第二张软盘上的备份文件）和 LoFile2 （寄存恢复第二张软盘后获得的数据）注意：寄存备份文件所在的逻辑盘（如 D 盘）与你准备安装软件所在的逻辑盘（如 C 盘）不要同样，由于假如同样，安装软件时可 能正好把你的备份文件给覆盖掉了。(2)EasyRecovery 安装和启动 这里采用 Easy Recovery Professional 软件作为恢复工具，点击 Easy Recovery 图标即可 顺利安装，启动 EasyRecovery 应用程序，主界面上列出了 Easy Recovery 的所有功能：“磁 盘诊疗”、“数据恢复”、“文件修复”和“邮件修复”等功能按钮”在取证过程顶用得最多的是“数据恢复”功能。-5 优选文库 图 1 EasyRecovery 安装和启动 图 2 EasyRecovery 的数据恢复界面 -6 优选文库 (3)使用 EasyRecovery 恢复已被删除的文件。，将准备好的软盘（或 U 盘）插入计算机中，删除上边的一部分文件和文件夹假如原 有磁盘中没有文件和文件夹，能够先创立几个，备份到 BakFilel 文件夹下，再将它删除。点击“数据恢复”，出现“高级恢复”、“删除恢复”、“格式化恢复”和“原始恢复”等按钮，选择“删除恢复”进行迅速扫描，查找已删除的目录和文件，接着选摘要搜寻的驱 动器和文件夹(A 盘或 U 盘图标)。出现所有被删除的文件，选摘要恢复的文件输入文件寄存的路径 D：LostFilel，点击“下一步”恢复达成，并生成删除恢复报告。图 3 EasyRecovery 选择恢复删除的磁盘 -7 优选文库 图 4 EasyRecovery 扫描文件 图 5 EasyRecovery 扫描结果 -8 优选文库 比较 BakFilel 文件夹中删除过的文件与 LoatFilel 文件夹中恢复获得的文件，将比较结果记录下来。图 6 查察需要恢复的文件 -9 优选文库 图 6 保留需要恢复的文件 心得领会:使用 Easy Recovery 恢复已被删除的文件特别管用，并且使用方便，经过此次 实验学会了怎样恢复不当心被删除的文件。也能对计算机储存介质有了进一步的认识。实验三 实验题目：剖析 Windows 系统中隐蔽的文件和 Cache 信息 实验目的：学会使用取证剖析工具查察 Windows 操作系统下的一些特别文件，找出深深隐蔽的凭证。学会使用网络监控工具监督 Internet 缓存，进行取证剖析。实验要求：Windows Xp 或 Windows 2000 Professional 操作系统 Windows File Analyzer 和 CacheMonitor 安装软件 一张可用的软盘（或 u 盘）实验主要步骤：用 Windows File Analyzer剖析 Windows 系统下隐蔽的文件。用 CacheMonitor 监控 Internet 缓存。用 Windows File Analyzer 和 CacheMonitor 进行取证剖析。实验结果：-10 优选文库 软件界面 Index.dat Analyzer 剖析 Index.dat 文件 -11 优选文库 翻开 prefetch 文件夹中储存的信息，翻开结果，所有是.pf 文件 -12 优选文库 Shortcut Analyzer 找出桌面中的快捷方式，并显示储存在他们中的数据 -13 优选文库 CacheMonitor 操作 心得领会：这个实验相对而言比较简单，只需会使用 Windows File Analyzer，认识其功 能和详细的使用方法，可是对其所获得的数据进行剖析，还需要进一步的增强学习。-14 优选文库 实验四 实验目的：（1）在综合的取证、剖析环境中成立事例和保留凭证链。（2）模拟算机取证的全过程，包含保护现场、获得凭证，保留凭证，剖析凭证，提取凭证。实验步骤和实验结果：（1）用 X-Ways Forensics 的 WinHex 版本创立一个新的事例 new case，记录与计算机相关的的计算机媒体如硬盘，内存，USB，CD-ROM 和其余实用的文件信息，联合实质事例构造，设计生产一个凭证实体或凭证源，生产事例报告单。-15 优选文库 -16 优选文库 -17 优选文库 图 创立镜像文件过程 -18 优选文库 操作结束，将生成 TXT 格式操作日记，包含如磁盘参数、MD5 值等信息。（2）用 X-Ways Forensics 的 WinHex 版本对磁盘克隆，将生成的映像文件分步采集，生成 RAW 原始数据映像文件中的完好目录构造，删除某个文件，对该文件自动恢复，并确立文件种类，接着进行答复，生成删除答复报告。-19 优选文库 扫描达成后能够看到被删除的文件以下列图 -20 优选文库 文件已被恢复。（3）用 X-Ways Captures 将正在运转状态下计算机中的所有数据采集到外置 USB 硬盘中，如获得的内存数据被加密保护，在此中找出有价值的口令信息。（4）用 X-Ways Captures 获得物理内存和虚构内存中所有正在运转的进度，剖析进度。（5）用 X-Ways Trace 对计算机中的阅读器上网记录信息，回收站的删除记录进行追踪和剖析。（6）将第（2），（3），（4）和（5）步中获得的数据信息和剖析结果计算 hash 值后保留，再将数据信息和剖析结果增添到第一步的事例管理中进行组合和分类，并且对其可 信度进行查验，将有效的凭证归入最后的凭证集。心得领会：这个实验比较难，做这个实验最大的感想是计算机取证是一件需要 很大的耐心和仔细的事情，在实验指导书和自己的探索下才会使用 X-Ways Forensics，这个工具特别不错。-21