中南大学计算机取证技术实验报告 .pdf

《中南大学计算机取证技术实验报告 .pdf》由会员分享，可在线阅读，更多相关《中南大学计算机取证技术实验报告 .pdf（29页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、计算机取证技术实验报告学院：信息科学与工程学院班级：学号：姓名：指导老师：张健精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 1 页，共 29 页中南大学计算机取证实验报告葛健敏1 目录目录 - 1 实验一事发现场收集易失性数据- 2 实验二磁盘数据映像备份- 7 实验三恢复已被删除的数据- 11 实验四进行网络监听和通信分析- 16 实验五分析 Windows 系统中隐藏的文件和Cache信息 - 20 实验六数据解密 - 26 总结 - 28 精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 2 页，

2、共 29 页中南大学计算机取证实验报告葛健敏2 实验一事发现场收集易失性数据实验目的（1）会创建应急工具箱，并生成工具箱校验和。（2）能对突发事件进行初步调查，做出适当的响应。（3）能在最低限度地改变系统状态的情况下收集易失性数据。实验环境和设备（1）Windows XP 或Windows 2000 Professional操作系统。（2）网络运行良好。（3）一张可用 U盘（或其他移动介质）和PsTools 工具包。实验步骤及截图（1）将常用的响应工具存入U盘，创建应急工具盘。 应急工具盘中的常用工具有cmd.exe; netstat.exe；fport.exe；nslookup.exe 等（

3、2）用命令 md5sum 创建工具盘上所有命令的校验和，生成文本文件commandsums.txt 保存到工具盘中，并将工具盘写保护。 Windows上面没有这个命令（3）用 time 和date 命令记录现场计算机的系统时间和日期，第（4）、（ 5）、（ 6）、（7）和（ 8）步完成之后再运行一遍time 和date 命令。精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 3 页，共 29 页中南大学计算机取证实验报告葛健敏3 （4）用 dir 命令列出现场计算机系统上所有文件的目录清单，记录文件的大小、访问时间、修改时间和创建时间。精选学习资料

4、- - - - - - - - - 名师归纳总结 - - - - - - -第 4 页，共 29 页中南大学计算机取证实验报告葛健敏4 （5）用 ipconfig命令获取现场计算机的IP地址、 子网掩码、 默认网关， 用ipconfig/all命令获取更多有用的信息：如主机名、DNS 服务器、节点类型、网络适配器的物理地址等。精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 5 页，共 29 页中南大学计算机取证实验报告葛健敏5 （6）用 netstat显示现场计算机的网络连接、路由表和网络接口信息，检查哪些端口是打开的，以及与这些监听端口的所有连接

5、。（7）用 PsTools 工具包中的 PsLoggedOn 命令查看当前哪些用户与系统保持着连接状态。精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 6 页，共 29 页中南大学计算机取证实验报告葛健敏6 （8）用 PsTools 工具包中的 PsList 命令记录当前所有正在运行的进程和当前的连接。精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 7 页，共 29 页中南大学计算机取证实验报告葛健敏7 实验二磁盘数据映像备份实验目的（1）理解什么事合格的司法鉴定备份文件，了解选用备份工具的要求（2）能

6、用司法鉴定复制工具对磁盘数据进行备份（3）查看映像备份文件的内容，将文件进行Hash 计算，保证文件的完整性实验环境和设备（1）Windows XP 或 Windows 2000 Professional 操作系统（2）网络运行良好。（3）一张可用的软盘和外置USB 硬盘实验步骤及截图（1）制作 MS-DOS 引导盘，给硬盘或分区做映像是提供干净的操作系统。键入以下命令制作引导盘c:format a: /s format 命令用法（并没有/s ？）软盘的根目录下至少有下面三个文件IO.SYS,COMMAND,COM,MSDOS.SYS 精选学习资料 - - - - - - - - - 名师归纳

7、总结 - - - - - - -第 8 页，共 29 页中南大学计算机取证实验报告葛健敏8 （2）下载 ghost 应用软件存放到e 盘，启动ghost.exe文件（3）使用 ghost 对磁盘数据进行映像备份，可以对磁盘某个分区或对整个银盘进行备份对磁盘某个分区备份精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 9 页，共 29 页中南大学计算机取证实验报告葛健敏9 系统询问采用什么方式备份，选用high 模式（高压缩率）对整个硬盘进行备份（参见对某个分区进行备份的方法）网络之间的映像备份在被攻击主机上选择Master，确定备份计算机名后，后面步

8、骤与前面相似精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 10 页，共 29 页中南大学计算机取证实验报告葛健敏10 （4）用 check 选项对以生成的备份文件进行检查精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 11 页，共 29 页中南大学计算机取证实验报告葛健敏11 在 ghost 文件夹下打开ghostexp 文件，可以看到展开映像后的所有文件列表（5）将映像文件Hash，以保证完整性实验三恢复已被删除的数据实验目的1.理解文件存放的原理，懂得数据恢复的可能性。2.丁解几种常用的数据恢复软

9、件如Easy Recovery 和 RecoveryMyFiles 3.使用其中一种数据恢复软件、恢复已被删除的文件，恢复己被格式化磁盘上的数据。实验环境和设备(1) Windows Xp 或 Winfjows 2000 Professional 操作系统。(2)数据恢复安装软件。(3)两张可用的软盘（或U 盘）和一个安装有Windows 系统的硬盘。实验步骤及截图（1）实验前的准备工作精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 12 页，共 29 页中南大学计算机取证实验报告葛健敏12 在安装数据恢复软件或其他软件之前，先在计算机的逻辑盘（如

10、D 盘）中创建四个属于你自己的文件夹，如：Bak Filel（存放第一张软盘上的备份文件）、LostFile1（存放恢复第一张软盘后得到的数据）BakFile2（存放第二张软盘上的备份文件）和 LoFile2（存放恢复第二张软盘后得到的数据）注意：存放备份文件所在的逻辑盘（如D 盘）与你准备安装软件所在的逻辑盘（如C 盘）不要相同，因为如果相同，安装软件时可能正好把你的备份文件给覆盖掉了。(2) EasyRecovery 安装和启动这里选用Easy Recovery Professional 软件作为恢复工具，点击Easy Recovery 图标便可顺利安装，启动EasyRecovery 应用

11、程序，主界面上列出了Easy Recovery 的所有功能： “磁盘诊断”、“数据恢复”、“文件修复”和“邮件修复”等功能按钮”在取证过程中用得最多的是“数据恢复”功能。EasyRecovery 安装和启动精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 13 页，共 29 页中南大学计算机取证实验报告葛健敏13 EasyRecovery 的数据恢复界面(3)使用 EasyRecovery 恢复已被删除的文件。将准备好的软盘（或U 盘）插入计算机中，删除上面的一部分文件和文件夹如果原有磁盘中没有文件和文件夹，可以先创建几个，备份到BakFilel 文

12、件夹下，再将它删除。点击“数据恢复”，出现“高级恢复”、“删除恢复”、“格式化恢复”和“原始恢复”等按钮，选择“删除恢复”进行快速扫描，查找已删除的目录和文件，接着选择要搜索的驱动器和文件夹(A 盘或 U 盘图标 )。出现所有被删除的文件，选择要恢复的文件输入文件存放的路径D：LostFilel ，点击“下一步”恢复完成，并生成删除恢复报告。精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 14 页，共 29 页中南大学计算机取证实验报告葛健敏14 EasyRecovery 选择恢复删除的磁盘EasyRecovery 扫描文件精选学习资料 - - -

13、 - - - - - - 名师归纳总结 - - - - - - -第 15 页，共 29 页中南大学计算机取证实验报告葛健敏15 EasyRecovery 扫描结果比较 BakFilel 文件夹中删除过的文件与LoatFilel 文件夹中恢复得到的文件，将比较结果记录下来。精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 16 页，共 29 页中南大学计算机取证实验报告葛健敏16 查看需要恢复的文件保存需要恢复的文件实验四进行网络监听和通信分析实验目的（1）理解什么是网络证据，应该采取什么办法收集网络证据（2）了解网路监听和跟踪的目的，会用windu

14、mp 进行网络监听和跟踪（3）使用 Ethereal 软件分析数据包，查看二进制捕获文件，找出有效的证据实验环境和设备（1）windows XP 或 windows 2000 Professional 操作系统（2）网络运行良好（3）Winpcap、windump 和 Ethereal 安装软件实验内容和步骤（1）windump 的使用Windump 在命令行下使用，需要winpcap 驱动打开命令提示符，运行windump 后出现：精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 17 页，共 29 页中南大学计算机取证实验报告葛健敏17 显示正常

15、安装，以下查看参数开始捕获数据包，表示源地址和目的地址不采用主机名的形式而采用IP 地址的形式（2）Ethereal（在这里，我使用wireshark，也是抓包工具）的使用精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 18 页，共 29 页中南大学计算机取证实验报告葛健敏18 （3）用 windump 和 wireshark 模拟网络取证先 telnet 到一台没有开telnet 服务的计算机上面，用两种软件同时抓包，查看捕获包的异同Windump Wireshark 相比之下 wireshark 所捕获的包的种类更多，内容也更直观精选学习资料

16、- - - - - - - - - 名师归纳总结 - - - - - - -第 19 页，共 29 页中南大学计算机取证实验报告葛健敏19 使用 haping 工具模拟syn 泛洪攻击，在被攻击的计算机上用windump 或 wireshark捕获数据包使用 XDOS 攻击工具用 wireshark 可以看到大量syn 向 192.168.1.43 发送精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 20 页，共 29 页中南大学计算机取证实验报告葛健敏20 实验五分析 Windows系统中隐藏的文件和Cache信息实验目的（1） 学会使用取证分析

17、工具查看Windows操作系统下的一些特殊文件，找出深深隐藏的证据。（2）学会使用网络监控工具监视Internet缓存，进行取证分析。实验要求：（1）Windows Xp 或 Windows 2000 Professional 操作系统（2）Windows File Analyzer 和 CacheMonitor 安装软件一张可用的软盘（或u盘）实验步骤及结果（1）用 Windows File Analyzer分析 Windows 系统下隐藏的文件。用WFA 读出 Thumbs.db文件，查看其中内容精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第

18、21 页，共 29 页中南大学计算机取证实验报告葛健敏21 用index.dat Analyzer 分析 index.dat文件用 prefetch Analyzer 挖出 Prefetch 文件夹中存储的信息精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 22 页，共 29 页中南大学计算机取证实验报告葛健敏22 用 Recycle Bin Analyzer 打开特定文件夹中的快捷方式，显示回收站info2 文件信息精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 23 页，共 29 页中南大学计算机取

19、证实验报告葛健敏23 用 Shortcut Analyzer 找出特定文件夹中的快捷方式并显示存储在它们里面的数据精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 24 页，共 29 页中南大学计算机取证实验报告葛健敏24 （2）用 CacheMonitor 监控 Internet缓存精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 25 页，共 29 页中南大学计算机取证实验报告葛健敏25 （3）用WFA 和CacheMonitor 进行取证分析精选学习资料 - - - - - - - - - 名师归纳总

20、结 - - - - - - -第 26 页，共 29 页中南大学计算机取证实验报告葛健敏26 实验六数据解密实验目的（1）理解数据加密的原理，掌握常用的密码破解技术（2）打开已被加密的现场可以计算机，找到有效的证据证据（3）将犯罪嫌疑人的重要文件进行破解和分析实验环境和设备（1）windows XP 或 windows 2000 Professional 操作系统（2）一些常用密码破解工具（3）网络运行良好实验内容和步骤（1）用工具软件Cmospwd 破解 CMOS 密码（2）通过删除Windows安装目录下的*.pwl密码文件和Profiles 子目录下的文件，破解windows 密码。精选

21、学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 27 页，共 29 页中南大学计算机取证实验报告葛健敏27 （3）用解密软件UZPC 破解 ZIP 压缩包密码， CRACK 破解 RAR 压缩包密码（4）使用破解工具Advanced Office XP Password Recovery破解 word 密码设置 word 权限密码在工具选项安全性中设置密码为999 保存并关闭该文档，然后打开，就需要输入密码使用工具软件Advanced Office XP Password Recovery可以快速破解Word 文档密码，点击工具栏按钮 “Open Fi

22、le” ， 打开刚才建立的Word 文档，程序打开成功后会在Log Window中显示成功打开的消息（5）用 GetIp 将代表口令的密码号还原成真实的口令（6）用网络嗅探器（如Wireshark），嗅探登陆和数据传输事件，捕获密码和敏感数据精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 28 页，共 29 页中南大学计算机取证实验报告葛健敏28 总结经过计算机取证的几次实验，我掌握了许多计算机取证方面的技术与工具。计算机取证工具箱简单方便，无需安装， 应急工具箱收集易失性数据，在计算机取证过程中对案发现场计算机的取证起着关键性的作用，用它可以找出

23、计算机当时所处的状态，从而收集证据。对于取证人员来说，这个是非常关键的一步。我学会了如何用ghost 对磁盘进行备份，可以用于将磁盘恢复到备份是的状态。Easy Recovery 恢复已被删除的文件非常管用，而且使用方便， 通过这次实验学会了如何恢复不小心被删除的文件。也能对计算机存储介质有了进一步的认识。Winpcap 配合多种软件如windump 、wireshark 可以进行数据包的捕获。会使用Windows File Analyzer，但是对其所得到的数据进行分析，还需要进一步的加强学习。数据解密软件的使用可以更好的帮助我们在计算机的取证上面进行取证。这次实验我感受颇深，不仅学习到了知识，还掌握了取证的相关技术，让我对信息安全更加感兴趣。精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 29 页，共 29 页