计算机反取证技术
反取证技术
将数据从目标主机上移走， 到确认没被污染的机器上进 行分析。鉴定目标系统上命 令的正确性 将数据从目标主机上移走， 到确认没被污染的机器上进 行分析。鉴定目标系统上命 令的正确性
公用密钥体制
公用密钥需要两个相关的密码，一个密码作为公钥，一个密码作 为私钥，在公用密钥体制中，信息接收者可以把他的公用密钥放 到Internet的任意地方，或者用非加密的邮件发给信息的发送者， 信息的发送者用他的公钥加密信息然后发给信息接收者，信息接 收者则用他自己的私钥解密信息。 代表算法：RSA
• 就体制而言，目前的加密体制可分为：
单密钥加密体制
在加密和解密过程中都必须用到同一个密钥的加密体制，此加密 体制的局限性在于，在发送和接收方传输数据时必须先通过安全 渠道交流密钥，保证在他们发送或接收加密信息之前有可供使用 的密钥。 代表算法：DES、TripleDES（3DES）、RC5或Blowfish
猜测或者找到编码的破译密 钥 先定位，然后破解
在文件系统中进行关键字搜 索
反取证技术
种类
隐藏数据 实际上存 在的数据 被隐藏为 不可见
隐藏技术
假造名字 将文件伪装成其他类型的文件，或 者它们的后缀名是不正确的。 这种方法在UNIX系统中不适用
调查方法
在文件系统中进行关键字搜 索。寻找异常的地方。使用除是最有效的反取证方法。它是指 清除所有可能的证据（索引节点目录文件和数 据块中的原始数据）。 原始数据不存在了，取证自然无法进行。 当在存储器中的数据不能被删除时，专业 的数据擦除软件能习惯于用固定数据模式写在 整个磁盘区域，因此能有效地擦除在磁盘上的 数据。
反取证技术
隐藏文件 手工将文件隐藏到经验不足的管理 员不会查看的地方
计算机反取证技术研究
计算机反取证技术研究
殷联甫
【期刊名称】《计算机系统应用》
【年(卷),期】2005(000)010
【摘要】在计算机取证日益受到人们重视和关注的今天,人们对反取证技术的研究相对较少.本文主要介绍目前常见的反取证技术和工具,并给出几个实现反取证的具体实例.
【总页数】4页(P46-49)
【作者】殷联甫
【作者单位】嘉兴学院信息工程学院,314001
【正文语种】中文
【中图分类】TP3
【相关文献】
1.浅析计算机犯罪取证与反取证 [J], 王彩玲;陈贺明
2.大数据及云环境下计算机反取证技术研究 [J], 罗晖;佟晖
3.网络电子证据取证技术与反取证技术研究 [J], 唐冬清
4.计算机取证与反取证的较量 [J], 苏成
5.反计算机取证技术研究 [J], 张有东;王建东;朱梧槚
因版权原因，仅展示原文概要，查看原文内容请购买。
计算机系统信息隐藏反取证技术
计算机系统信息隐藏反取证技术李佟鸿;王宁;刘志军【摘要】研究了现代计算机系统信息隐藏的各种可能方式.运用HPA和DCO、隐藏分区等技术分析了磁盘驱动的数据隐藏,运用簇分配、Slack空间等技术分析了NTFS文件系统的各种信息隐藏方法,以及各种方法可能的检测手段.分析各种隐藏技术作为计算机反取证手段,给计算机取证带来的巨大影响.%This paper discusses some of the possible ways to hide data on modern computer ing HPA and DCO,hidden partition and other technical analysis of the disk drive data ing the cluster distribution,Slack space and so on technical discusses some of the methods that can be used to hide data in NTFS and analysis techniques that can be used to detect and recover hidden data.The exploration of the different hiding technology can be used as computer anti-forensics means,to the great impacts of computer forensics.【期刊名称】《计算机系统应用》【年(卷),期】2013(022)005【总页数】5页(P1-4,37)【关键词】信息隐藏;反取证;隐藏分区;簇分配;Slack空间;NTFS文件系统【作者】李佟鸿;王宁;刘志军【作者单位】湖北警官学院,武汉430032;湖北警官学院,武汉430032;湖北警官学院,武汉430032【正文语种】中文1 引言随着计算机取证技术的发展, 计算机反取证(Com puter Anti-Forensic)技术也正悄然兴起, 反取证针对计算机取证过程的各个阶段, 破坏电子证据的调查、保护、收集、分析和法庭诉讼, 减少被获取的证据数量,降低所获取证据的质量. 这对取证技术的发展形成了严峻的挑战.常见的反取证技术主要有数据擦除、数据隐藏、数据加密、网络源反追踪、内核级Rootkit、针对计算机取证工具缺陷进行攻击等技术手段. 其中, 数据隐藏是计算机反取证最主要手段之一. 数据隐藏通常有非物理形式的数据隐藏和物理形式的数据隐藏[1]. 非物理形式的数据隐藏是通常意义上的信息隐藏, 主要包括数据加密、隐写术和数字水印; 物理形式的数据隐藏主要是与计算机存储设备和操作系统有关的数据隐藏. 这里主要探讨物理形式的数据隐藏. 本文主要研究了现代计算机系统各种数据隐藏方法和策略, 以及数据隐藏反取证技术对计算机取证造成的影响.2 计算机硬件信息隐藏2.1 HPA和DCO数据隐藏(1)主机保护区域HPA在ATA-5协议被确立以后, 硬盘引入了主机保护区域(Host Protected Area即HPA)技术, 通过用ATA命令直接把硬盘后部的一块区域保护起来, 用于存储数据和配置文件, 操作系统和BIOS都无法读取该区域[2].如果一块120GB的硬盘设置了10GB的“隐藏保护区域”, 那么在 BIOS也只能检测到 110GB. 硬盘未被保护的区域, 可进行正常的读写、分区、格式化, 而不会对“隐藏保护区域”内的数据有任何影响. 然而, 也有一些工具可以对 HPA进行修改, 以实现数据隐藏. 一旦能够进入这些受保护的区域, 就可以隐藏大量的数据, 这些区域往往不会被取证分析员所重视, 部分取证软件还不能有效获取该区域隐藏数据.(2)设备配置覆盖DCO设备配置覆盖(Device Configuration Overlay, DCO)是硬盘驱动器(HDD)另一个隐藏区域, 在 ATA-6标准中首次引入, DCO比HPA具有更强隐藏数据的能力[2].设计 DCO的目的是允许系统供应商购买来自不同厂商的硬盘驱动器, 可能大小不同, 然后配置所有硬盘驱动器具有相同的扇区数.如果硬盘驱动支持HPA/DCO, 则二者可单独存在或同时存在, 如图1所示, 1.5TG 的磁盘驱动, HPA占500G, 或1.5TG磁盘驱动, HPA和DCO各250G.图1 只含有HPA或同时含有HPA/DCO的磁盘驱动(3)数据隐藏分析运用相关工具可以创建和修改硬盘驱动器的HPA/DCO. 如 HDAT2、SETMAX、Feature Tool、MHDD等. 如图2所示, 使用MHDD将一个200G的Seagate硬盘改为100G.图2 创建HPA创建或控制一个 HPA/DCO隐藏数据, 需要如下几步: 首先用磁盘编辑工具将需要隐藏的文件拷贝到所在磁盘分区的末端; 其次在需隐藏文件所在区域创建一个 HPA, 所占空间大小可以根据需要任意确定;最后消除源文件空间指向新文件空间的引用, 这样在磁盘驱动器上就可以拥有一个隐藏文件. 如果不用针对HPA区域的专门软件或硬件工具, 是不会发现该文件. 对运用 HPA/DCO实施数据隐藏的取证分析工具,目前有很多, 如 The Sleuth Kit、The ATA Forensics Tool、EnCase等软件工具, 还有硬件工具如 Forensic Ultradock v4、Forensic RTX等.2.2 隐藏分区隐藏分区, 就是在一般条件下, 不显示也不能直接使用的硬盘的部分空间, 一般不能访问. 一些品牌机如联想的笔记本等默认出厂给自己划出一个隐藏分区, 以便存储一些系统启动或类似一键恢复的主要文件, 并提供启动入口. Windows7操作系统在全新安装或者是对分区格式化的时候, 也会预留一定的空间作为启动引导文件存放的分区, 该分区为隐藏分区.另外, 也可以使用相关工具设置隐藏分区. 如DiskGenius可以实施分区隐藏和隐藏分区分析. 笔者将某一磁盘分区隐藏, 用encase4.0分析验证, 看不到隐藏的文件, 如图3所示:图3 将一分区隐藏并用encase4.0分析查看如果运用技术手段将数据隐藏在隐藏分区中, 将是有效的反取证手段. 所以取证分析员在取证分析的时候, 需要运用多种手段, 全面考虑证据获取的全面性和完整性.2.3 残留空间(Slack Space)信息隐藏磁盘上的残留空间主要有卷残留(Volume Slack)和文件系统残留(File System Slack). 卷残留是文件系统所在的分区, 介于文件系统末端和分区末端之间的未使用的空间. 文件系统残留是文件系统末端, 没有分配给任何簇的未使用的空间[3]. 出现卷残留和文件系统残留的原因是分区不是簇的整数倍造成的. 例如,在一个分区里有10001个扇区, 前10000个扇区分成2500个簇, 每簇有4个扇区, 那么, 最后一个扇区就剩下来, 成为文件系统残留.在卷残留隐藏的数据量是不受限制的, 因此, 嫌疑人可以简单的修改卷残留的大小来隐藏更多的数据.而在文件残留隐藏数据要受到簇的大小限制, 比如,文件系统一个簇有八个扇区, 在这个文件系统残留里所能隐藏的最大数据量是7个扇区的容量. Slack空间隐藏数据, 是文件系统及整个计算机系统存储能力的产物. Slack空间数据隐藏技术, 充分利用了格式化存储介质的物理特性来隐藏数据. 采用该技术进行数据隐藏有双重优点: 主机或者载体文件不受任何影响, 且不会影响整个数字系统的正常运行.其原因在于隐藏数据对于操作系统和文件管理器来说是透明的. 向Slack空间写入数据实施数据隐藏, 也是反取证技术的重要手段之一, 犯罪分子可以向该区域隐藏各种信息, 如各种病毒、木马以及进行犯罪的软件工具等.检测 Slack空间的隐藏数据, 简单的方法可以使用Windows命令行工具chkdsk 来分析文件系统, 复杂的就需要借助专门的工具来实现, 如Guidance公司的Encase软件, NTI公司的GetSlack软件等工具, 支持对这些空间的证据的收集和分析.3 计算机NTFS文件系统数据隐藏NTFS文件系统是目前微软操作系统的标准文件系统, 在 NTFS文件系统中有很多隐藏数据的方法[4].在这一部分, 我们主要讨论常见的数据隐藏方法以及隐藏数据的检测手段.3.1 NTFS数据隐藏标准从犯罪嫌疑人的角度来说, 一个好的 NTFS数据隐藏技术应该符合如下标准: 一是正常的系统工具(如chkdsk等)检查不出任何错误; 二是隐藏的数据不被改写或被改写的可能性非常低; 三是正常的用户不能发现隐藏的数据; 四是该技术可以储存一定数量的隐藏数据[5].3.2 标注坏簇信息隐藏在硬盘中, 无法被正常访问或不能被正确读写的扇区, 都称为坏扇区(Bad sector). 在 NTFS主文件表(MFT, Master File Tab)中, 有一个坏簇列表文件(＄BadClus), 它记录了磁盘上该卷中所有的损坏的簇号,防止系统对其进行分配使用. 把要隐藏的文件所在的簇标记为坏簇, 就是把这些簇的“指针”添加到$BadClus 的数据运行列表中, 就可以实现该文件的隐藏, 用这种方法隐藏的数据的大小是不受限制的.犯罪嫌疑人可以简单地分配更多的簇至＄BadClus,用它来隐藏数据, 而不必担心隐藏数据遭到破坏[5].3.3 分配给文件多余的簇信息隐藏这种信息隐藏的方法, 是使用分配给文件多余的簇来隐藏数据. 比如, 一个文件有10752比特大小,NTFS文件系统需要分配给它3个簇, 每簇8个扇区,但嫌疑人可以给这个文件分配更多的簇, 以实现数据隐藏的目的. 用这种方式隐藏数据的大小也不受限制,因为嫌疑人可以根据自己的需要, 分配给文件多余的簇. 使用这种隐藏方式, 有一个弊端, 就是存储的文件大小不能改变, 一旦文件的容量增加, 隐藏数据就被覆盖或丢失. 维持存储文件的稳定不变, 是维持这种信息隐藏的前提.对于这种数据隐藏方法的检测, 可以使用Windows命令行工具chkdsk来分析. 目前还没有专门的工具实现这个自动检测过程.3.4 文件Slack空间信息隐藏文件 Slack空间就是文件有效数据的结尾位置,到最后一个数据块的最末端位置之间的存储空间.Wi-ndows文件系统使用固定大小的簇. 我们常见的簇的大小通常是4KB、8KB、16KB、32KB、64KB、128KB.确定簇大小以后, 所有文件的读写, 都是按簇为单位进行统一分配. 比如说某个分区的簇大小为32KB, 一个15KB的文件, 系统也会分配32KB的空间给它, 但在这32KB的空间里边, 真正被使用的只有15KB, 剩下的 17KB是不能再分配给其他文件使用的. 这一部分的空间就是所谓的文件SLACK空间[1].有两种类型的文件残留, 一种是RAM残留(RAM Slack), 另一种是驱动残留(Drive Slack). RAM残留是从文件的末端到最后一个所在扇区的末端, 而驱动残留是从下一个扇区的开始到文件所在簇的最后一个簇的末端. 如图4所示:图4 文件Slack结构图由于Windows忽略存储在驱动残留中的信息, 存储在该残留中的数据将不被操作系统本身检测. RAM残留也能存储隐秘数据, 但由于空间太小, 往往不是理想的存储选择.下面使用Slacker.exe工具向文件Slack空间写入数据. Slacker.exe是一款可向NTFS文件系统的文件Slack空间写入数据的工具, 以实现数据隐藏[3]. 用Slacker.exe把文件 test.txt(9字节)写入图片文件ptest.jpg中, 如图5所示:图5 向一图片文件写入文本文件成功写入数据后, 使用 encase(4.0版本)对Ptest.jpg文件写入前后进行分析比对(比对文件是生成的分析报告), 文件大小没有改变, 但最后写入时间发生了变化. 同时, 文件的其它属性也发生了很大的变化.如图6所示:图6 比较写入文件后图片文件的变化3.5 分支数据流信息隐藏分支数据流(Alternate Data Stream, ADS)是NTFS文件系统的一个特性, 一种无须重新构建文件系统就能给文件添加额外属性或信息的机制. 允许单独的数据流文件存在, 同时也允许一个文件附着多个数据流,即除了主文件流之外, 还允许许多非主文件流寄生在主文件流之中, 通过这种简单的文件流方式, 可以实施文件隐藏[5]. 由于针对ADS的取证分析工具很多, 而且这种ADS数据隐藏方式健壮性较差, 当将带有ADS文件流的文件拷贝到非NTFS分区时, 此文件流会自动删除, 如图7所示. 借助ADS流实施文件隐藏已经极为不可靠了.图7 将带有ADS文件流的文件拷贝到非NTFS分区时询问3.6 NTFS数据隐藏分析检测分析 NTFS数据隐藏一般是比较困难的, 因为该文件系统非常灵活, 可以支持各种操作系统, 因此就会产生很多的数据隐藏方法. 另外, windows NTFS文件系统的完整文件是保密的、不公开的, 因此, 有时无法判断在该文件系统数据结构中的值的组合, 哪些是合理的, 哪些是不合理的.通常检查分析NTFS文件系统的隐藏数据可以分为三个阶段: 检查确定是否有任何非正常数据隐藏;提取隐藏数据; 覆盖隐藏数据.对 NTFS文件系统是否隐藏有数据, 在每一次计算机取证过程中都要进行必要的分析. 一般来说, 可以从如下几个方面来考虑. 一是在计算机取证分析之前, 要对 NTFS文件系统进行完整性检查, 比如使用chkdsk命令行工具检查, 出现的任何错误提示, 就说明该文件系统或许存在被操纵的可能, 而处于不稳定状态; 二是检查文件被分配的簇的大小, 与系统默认的该文件簇的大小(该大小是由文件本身的大小决定的), 一旦发现用户修改了该文件默认簇的大小, 就说明是非正常现象, 有可能通过修改默认簇大小以隐藏数据; 三是在文件系统搜索数据隐藏工具; 四是运用微软的OEM 工具NFI检查元数据文件, NFI.EXE是微软公司的OEM工具, 用此工具可以转储NTFS主文件表的重要的元数据文件, 也可以检查元数据文件的任何异常情况[5].4 结语数据隐藏技术一直以来就是计算机反取证重要技术之一, 一切隐藏数据或通过隐蔽手段保护数据的措施和技术, 都可以视为计算机反取证手段. 本文讨论的计算机系统的隐藏技术只是部分可能的隐藏数据的方法, 随着技术的发展和新系统的产生, 会有越来越多的数据隐藏方法出现, 隐藏数据的艺术魅力主要还是依赖技术爱好者或嫌疑人的创造力. 更多的数据隐藏技术的创造和发现, 可以有力的推进计算机取证技术的发展.参考文献【相关文献】1 Shin DM, Kim Y, Byun KD. Data Hiding in Windows Executable Files. Australian Digital Forensics Conference, 2008.2 Gupta MR, Hoeschele MD, M.K.R. Hidden disk areas: Hpa and dco. International Journal of Digital Evidence, 2006,5(1).3 Berghel.Hiding Data,forensics,and munications of ACM, 2007,50(4):15−20.4 李步升.基于 NTFS的计算机反取证研究与实现.计算机工程,2010,36(19):274−276.5 Huebner E, Bem D, Wee CK. Data Hiding in the NTFS File System. Digital Investigation 3, 2006: 211−226.。
基于NTFS的计算机反取证研究与实现
快速 发展 的阶段 ，反取证技术随之兴起 。通过研究 反取证技 术以保证计算机取证 的科学性和有效性具有重要意义 ＿。 ｊ Ｊ 反取证主要是针对证据的收集 与分析 。罪犯利用取证调 查开始 时影响判断的因素来干扰、阻扰取证 ，导致 调查取证 偏 离真实犯罪活动。这些 因素包括数据集的信息异常、失效 甚至产 生转嫁于合法 实体 的结果。 目前 ，反取 证的主要技术 有数据 隐藏、人工擦除、源追踪混淆和针对计算机取证缺陷 进 行 攻 击 等 。 ｊ 数据擦除技术采用多次覆写或零位填充等手段 ，可有效 擦 除数据 ， 但很多情况下入侵者需要保留窃取 的信息，因此，
作者倚介 ： 李步升（ ７ 一） 男 ， １８ ， ９ 讲师 ， 主研方向 ： 计算机 网络与通 信 ，网络安全 收稿 日期 ：２１－ —６ ００ ５１ ０ Ｅｍ ｉ ｈｎｄｗ ｒ ｉ ｏ － ａ ：ｓａｎｙ ＠ｇ ａ． ｒ ｌ ｎｌ ｎ ｃ
入侵者通常会对 文件进行加密或隐写处理 。但单纯 的加密技
术或隐写技术都存在不足ｌ。例如，加密技 术在算法选定后， 、 Ｊ 其安全性依赖于 密码 的长度和随机性 。另一方面，当待 隐藏 文件较大时 ，传统 的隐写技术需要大量开销去选择合适大小 的载体 ，且一旦被对 方识破此 ，该 方法将完全失效 ＿。 ０ Ｊ
为 了克服上述缺点 ，本文提 出一种基于文件系统 的反取 证 方法 。此方法通过循环遍 历分区下所有的文件 ，计算 出每
不是一种简单 的相对偏移 关系 。设某一文件的数据运行列表
中某一结构 的首簇号为 Ⅳ，则若 Ⅳ 占 １ 个字节且 Ⅳ＞０ ８ Ｈ， ｘ０ 则取负值 ，Ⅳ （ ｍｏ ｘ ０一 ｘ ０ 。Ⅳ ＿ ｄ ０ ８ ）０ ８ 。若 Ⅳ 占 ２个字节且 Ⅳ＞ ０ ８０ ，则 ｜ （ ｘ００ ｖ Ⅳｍｏ ｘ ００一０ ８ ０ 。若 Ⅳ占 ３ ＝ ｄ０ ８ ０ ） ｘ０ ０ 个字节且
计算机犯罪现场勘查取证技术研究
计算机犯罪现场勘查取证技术研究随着计算机和互联网的快速发展，计算机犯罪日益成为社会安全的威胁。
计算机犯罪以其高度隐蔽性和匿名性，给相关部门的打击工作带来了巨大的挑战。
计算机犯罪现场的勘查取证技术显得尤为重要。
计算机犯罪现场是指计算机犯罪活动发生后可能留下物证的地点，包括破坏的计算机、网络设备、存储介质和文件等。
现场勘查是指通过对计算机犯罪现场进行系统地搜索和调查，找到、收集、保护和分析与犯罪行为有关的物证、信息，以便为后续的司法审判提供依据。
取证技术是指将计算机犯罪现场的证据进行完整、准确、可信的收集、保存和质证。
计算机犯罪现场勘查取证技术是计算机取证和计算机法医学的重要组成部分。
随着计算机犯罪的普及和复杂性的增加，相关技术也在不断发展和创新。
目前，国内外对计算机犯罪现场勘查取证技术的研究主要集中在以下几个方面。
首先是硬件和软件取证技术。
硬件取证技术主要包括采集硬盘镜像、恢复已删除的文件、获取计算机内存等。
软件取证技术主要包括恢复被破坏的计算机系统、提取嵌入式痕迹等。
这些技术的研究与创新，可极大提高取证的效率和准确性。
其次是网络取证技术。
网络取证是指通过网络通信数据的分析和还原，推断出计算机犯罪分子的活动轨迹、手段和目的。
网络取证技术包括网络流量分析、网络事件重建、网络异常检测等。
这些技术的研究意义在于提供网络攻击的记录和证据，为追查犯罪分子提供线索。
再次是数字取证技术。
数字取证主要是指通过对媒介中的数字信息进行收集和分析，获取与犯罪行为相关的证据。
数字取证技术包括文件恢复、数据解密、数据分析等。
这些技术能够有效地获取被犯罪分子删除或隐藏的信息，对破案起到决定性的作用。
最后是数据可靠性的验证和认证技术。
这是因为计算机犯罪活动的隐秘性很高，往往需要通过多个数据源的比对和分析，才能确定犯罪行为的确凿性。
数据可靠性验证和认证技术可以通过对数据的数字签名、身份验证等方式来验证数据的真实性和完整性，从而确保取证过程的可靠性。
计算机反取证技术
计算机反取证技术计算机反取证技术一、引言如今计算机犯罪日益猖獗，围绕计算机取证与反取证的斗争一直在进行。
在计算机网络犯罪手段与网络安全防御技术之间的对抗不断升级的形势下，计算机取证作为一门交叉学科，越来越受到计算机安全和法律专家的重视，与此同时，一种新的反计算机取证技术也正悄然兴起。
二、反取证技术在计算机取证技术发展的同时，犯罪分子也在绞尽脑汁对付取证。
反取证技术就是在这种背景下发展起来的。
与计算机取证研究相比，人们对反取证技术的研究相对较少。
对于计算机取证人员来说，研究反取证技术意义非常重大，一方面可以了解入侵者有哪些常用手段用来掩盖甚至擦除入侵痕迹：另一方面可以在了解这些手段的基础上，开发出更加有效、实用的计算机取证工具，从而加大对计算机犯罪的打击力度，保证信息系统的安全性。
它主要包括三类技术：数据擦除、数据隐藏和数据加密。
综合使用这些技术，将使计算机取证更加困难。
三、反取证技术介绍(1)数据擦除数据擦除是阻止取证调查人员获取、分析犯罪证据的最有效的方法，一般情况下是用一些毫无意义的、随机产生的‘O’、‘1’字符串序列来覆盖介质上面的数据，使取证调查人员无法获取有用的信息。
反取证的最直接、最有效做法就是数据擦除，它是指清除所有可能的证据索引节点、目录文件和数据块中的原始数据。
反取证工具TDT 专门设计了两款用于数据擦除的工具软件Necrofile和Klismafile 。
其中，Necrofile用于擦除文件的数据，它把所有可以找到的索引节点的内容用特定的数据覆盖，同时用随机数重写相应的数据块。
目前最极端的数据擦除工具是Data Security Inc、开发的基于硬件的degaussers工具，该工具可以彻底擦除计算机硬盘上的所有电磁信息。
其它用软件实现的数据擦除工具既有商业软件包，也有开放源代码的自由软件，其中最有名的是基于UNIX系统的数据擦除工具The Deft—ler’S Toolkit，The Defiler’S Toolkit 提供两个工具来彻底清除UNIX类系统中的文件内容(2)数据隐藏为了逃避取证，计算机犯罪者还会把暂时不能被删除的文件伪装成其他类型，或者把它们隐藏在图形和音乐文件中。
反取证技术
将数据从目标主机上移走， 到确认没被污染的机器上进 行分析。鉴定目标系统上命 令的正确性 将数据从目标主机上移走， 到确认没被污染的机器上进 行分析。鉴定目标系统上命 令的正确性
数据加密 数据隐藏 数据擦除
这些技术结合起来使用，让取证工作的效果大打折扣。
反取证技术
数据加密： 数据加密的基本过程就是对原来为明文
的文件或数据按某种算法进行处理，使其成 为不可读的一段代码，通常称为“密文”。 数据加密是应用信息安全的核心技术――密
码技术，将资料加密。
反取证技术
必须在关机之前定位到这种 文件，否则就会丢失 在整个驱动器上进行搜索。 使用恢复软件
反取证技术
种类
隐藏数据 实际上存 在的数据 被隐藏为 不可见 在计算机 之外
隐藏技术
数据被存储在可移动媒体之中，或 是局域网、互联网中的一个系统之 中调查方法发现检查所有媒体。寻找 远程连接的证据
欺骗调查人员 修改系统命令 数据没有被修改，但 系统命令或整个系统 被嫌疑人进行了修改， 使调查人员无法看到 修改操作系统 这些数据
反取证技术
数据擦除
数据擦除是最有效的反取证方法。它是指 清除所有可能的证据（索引节点目录文件和数 据块中的原始数据）。 原始数据不存在了，取证自然无法进行。 当在存储器中的数据不能被删除时，专业 的数据擦除软件能习惯于用固定数据模式写在 整个磁盘区域，因此能有效地擦除在磁盘上的 数据。
反取证技术
反取证技术
数据加密的三种基本组合的原理：
“置换表”算法 • 每一个数据段（总是一个字节）对应着“置换表”中的一 个偏移量，偏移量所对应的值就输出成为加密后的文件 变换数据位置 • 从输入中读入明文放到一个buffer中，再在buffer中对他 们重排序，然后按这个顺序再输出。解密程序按相反的顺 序还原数据。 循环移位和异或（XOR）操作 • 这是一种更好的加密算法，只有计算机可以做，就是字/ 字节循环移位和xor操作
打击计算机犯罪新课题计算机取证技术
打击计算机犯罪新课题计算机取证技术减小字体增大字体作者：无从考证来源：中国站长学院发布时间：2005-8-27 20:30:13目前，打击计算机犯罪的关键是如何将犯罪者留在计算机中的“痕迹”作为有效的诉讼证据提供给法庭，以便将犯罪者绳之以法。
此过程涉及的技术便是目前人们研究与关注的计算机取证(Computer Forensics)技术，它是计算机领域和法学领域的一门交叉科学。
计算机取证被用来解决大量的计算机犯罪和事故，包括网络入侵、盗用知识产权和E-mail欺骗等，它已成为所有公司和政府部门信息安全保证的基本工作。
Lee Garber在IEEE Security发表的文章中认为，计算机取证是分析硬盘驱动、光盘、软盘、Zip和Jazz 磁盘、内存缓冲以及其它形式的储存介质以发现犯罪证据的过程。
计算机取证资深专家Judd Robbins 对此给出了如下的定义:计算机取证是将计算机调查和分析技术应用于对潜在的、有法律效力的证据的确定与获取。
计算机紧急事件响应组和取证咨询公司New Technologies进一步扩展了该定义:计算机取证包括了对以磁介质编码信息方式存储的计算机证据的保护、确认、提取和归档。
SANS公司则归结为:计算机取证是使用软件和工具，按照一些预先定义的程序，全面地检查计算机系统，以提取和保护有关计算机犯罪的证据。
因此，计算机取证是指对能够为法庭接受的、足够可靠和有说服力的、存在于计算机和相关外设中的电子证据(Electronic Evidence)的确定、收集、保护、分析、归档以及法庭出示的过程。
电子证据计算机取证主要是围绕电子证据来展开工作的，其目的就是将储存在计算机及相关设备中反映犯罪者犯罪的信息成为有效的诉讼证据提供给法庭。
电子证据也称为计算机证据，是指在计算机或计算机系统运行过程中产生的，以其记录的内容来证明案件事实的电磁记录物。
电子证据在计算机屏幕上的表现形式是多样的，尤其是多媒体技术的出现，更使电子证据综合了文本、图形、图像、动画、音频及视频等多种媒体信息，这种以多媒体形式存在的计算机证据几乎涵盖了所有传统证据类型。
计算机取证与反取证的较量
计算机取证与反取证的较量四、计算机取证技术回顾与展望计算机取证的研究始与于上世纪90年代。
1993年召开了计算机取证国际会议，并成立了电子证据科学工作组。
2001年召开的FIRST(Forum of Incident Response and Security Teams)年会的主题就是系统恢复和计算机取证。
目前，计算机取证已成为计算机安全领域的研究热点。
一些实用的计算机取证产品相继问世，例如：美国Guidance公司的Encase、CF公司的DIBS、英国Vogon公司的Flight Server等。
随着计算机取证技术与黑客技术的发展，取证与反取证的对抗日益激烈。
道高一尺，魔高一丈。
实践表明：单纯的事后静态取证方法，难以确保证据的真实性和有效性，必须研究新的技术以满足取证需要。
预计取证技术将在以下几个方面取得进展：(1)动态取证技术随着网络设备、移动设备的广泛使用，计算机取证不应局限于数据恢复和磁盘分析，应该与防火墙技术、入侵检测技术相结合，建立动态的计算机取证体系。
动态取证系统能记录下系统工作，特别是黑客入侵过程。
结合“蜜罐”技术，动态取证能诱导和牵制黑客的攻击，获取尽可能多的攻击证据。
与静态取证相比，动态取证具有主动性、实时性、有效性等特点，从事后被动取证变为现场主动取证，有效地防止入侵者进入系统内部以后所实施的销毁罪证的行为。
动态取证的难点是：如何是络中，对用户和黑客而言是透明的，既不影响用户的应用系统，又具有自我保护措施，避免遭受攻击；其次，大流量信息的获取对记录速度和空间的要求较高。
(2)提高数据分析能力(下转73页)三、反取证技术在计算机取证技术发展的同时，犯罪分子也在绞尽脑汁对付取证。
反取证技术就是在这种背景下发展起来的，它主要包括三类技术：数据擦除、数据隐藏和数据加密。
综合使用这些技术，将使计算机取证更加困难。
(1)数据擦除反取证的最直接、最有效做法就是数据擦除，它是指清除所有可能的证据索引节点、目录文件和数据块中的原始数据。
计算机取证 填空题 判断题
一：填空题1：计算机取证模型包括：基本过程模型；事件响应模型；执法过程模型；过程抽象模型2：在证据收集过程中必须收集的易失证据主要有：系统日期和时间；当前运行的活动目录；当前的网络连接；当前打开的端口；当前打开的套接字上的应用程序；当前登录用户3：目前的计算机翻反取证技术主要有：删除技术；隐藏技术4：在windows工作模式下显示系统的基本信息包括：用户；网络环境；系统进程；系统硬件环境5：隐藏术通常通过两种方法对数据进行保护：使数据不可见，隐藏起所有属性；对数据加密6：在MACtimes中的Mtime指文件的最后修改事件；Atimes指：文件最后访问时间按；Ctimes 指：文件的最后创建时间7：防止密码被破译的措施：强壮的加密算法；动态的会话密钥；良好的密码使用管理制度8：目前主要的数据分析技术包括：文件属性分析技术；文件数字摘要分析技术；日志分析技术；数据分析技术9：安全管理主要包括三个方面：技术安全管理；法律法规安全管理；网络安全管理10：计算机信息系统安全管理的三个原则：多人负责原则；任期有限原则；职责分离原则11：信息系统安全包括：身份认证；访问控制；数据保密；数据完整性；不可否认性12：任何材料要成为证据，均需具备三性：客观相；关联性；合法性13：计算机取证是指对能够为法庭接受的，足够可靠和有说服性的存在于计算机和相关外设中的电子证据的确认；保护；提取和归档的过程14：DES是对称密钥加密算法，DES算法大致可以分为四个部分：初始置换；迭代过程；子密钥生成；逆置换15：目前反取证技术分为：擦出技术；隐藏技术；加密技术16：网络安全管理的隐患有：安全机制；安全工具；安全漏洞和系统后门二．判断1.取证的目的是为了据此找出入侵者（或入侵的机器），并解释入侵的过程。
（ F ）2.网络入侵取证系统中，日志文件是可以很轻易被人修改的，但是这种修改是很容易被发现的。
（ F ）3.硬盘由很多盘片组成，每个盘片被划分为若干个同心圆，称为磁道。
去中心化的网络反取证技术培训
去中心化的网络反取证技术培训简介随着数字技术的快速发展，网络犯罪日益增多，传统的取证方式已经不再适应当今复杂的网络环境。
因此，去中心化的网络反取证技术逐渐崭露头角。
本文将介绍去中心化的网络反取证技术培训的重要性以及相关的技术内容。
培训目的网络反取证技术培训的目的是培养网络安全从业人员具备应对复杂网络环境下取证工作的能力。
随着区块链技术的发展，去中心化的网络反取证技术逐渐成为取证的重要手段之一。
因此，培训旨在帮助学员掌握与去中心化网络相关的反取证技术，提高对网络犯罪的应对能力。
培训内容1. 去中心化网络基础•去中心化网络的定义和原理•去中心化网络的发展历程和应用场景•去中心化网络的技术特点和优势2. 区块链技术与反取证•区块链技术的基本原理和特点•区块链技术在反取证中的应用场景•区块链技术对传统取证方式的影响和改进3. 去中心化网络的反取证技术•去中心化网络的日志分析和取证方法•去中心化网络的数据采集和存储技术•去中心化网络中的身份验证和溯源技术4. 隐私保护与数据安全•去中心化网络中的隐私保护技术•去中心化网络中的数据加密和传输安全•防止网络攻击和数据泄露的技术手段5. 实战演练与案例分析•基于去中心化网络的反取证技术实战演练•实际案例分析和破解技术分享•演练中的问题排查和解决方案探讨培训效果通过本培训，学员可以全面了解去中心化的网络反取证技术，并具备以下能力：1.掌握去中心化网络的基本原理和技术特点；2.熟悉区块链技术在反取证中的应用场景；3.熟练使用去中心化网络的反取证技术工具；4.中秋去中心化网络中的身份验证和溯源技术；5.基于去中心化网络进行实战演练和案例分析的能力。
结语随着去中心化网络的发展，网络反取证技术也将逐渐成为取证工作的重要手段。
本文介绍了去中心化的网络反取证技术培训的重要性以及相关的技术内容。
通过这样的培训，我们可以提高网络安全从业人员在处理网络犯罪案件方面的能力，推进网络安全和信息安全工作的进程。
计算机犯罪现场勘查取证技术研究
计算机犯罪现场勘查取证技术研究随着计算机技术的迅猛发展，计算机犯罪也呈现出日益严重的趋势，因此计算机犯罪现场勘查取证技术显得尤为重要。
计算机犯罪的本质是利用计算机技术来实施的犯罪行为，因此在取证过程中需要运用到计算机科学、网络安全、数字取证以及法律等多个领域的知识和技能。
计算机犯罪现场勘查取证技术的研究可以分为两个主要方面：现场勘查技术和数字取证技术。
现场勘查技术主要是指对计算机犯罪现场进行勘查，包括对计算机硬件、软件、网络设备以及相关电子证据的收集和分析。
数字取证技术则是指运用计算机技术和工具进行数据恢复和分析，以获取证据用于法庭审判。
现场勘查技术是计算机犯罪现场取证的关键环节。
在取证过程中，需要对计算机硬件进行详细的勘查，包括检查主板、硬盘、内存等硬件部件，以及检查系统日志、文件访问记录等软件部分。
现场勘查需要遵循一定的规范和步骤，以确保证据的完整性和可靠性。
现场勘查人员还需要具备深厚的计算机硬件和软件知识，以便能够对现场发现的问题进行分析和解决。
数字取证技术是计算机犯罪取证过程中的另一个重要环节。
数字取证技术主要包括数据恢复、数据分析以及数字取证工具的使用。
数据恢复是指从被犯罪者删除或隐藏的文件中恢复出原始数据，以获取相关证据。
数据分析则是指对获取的数据进行分析和整理，以便能够发现隐藏的线索和关联的证据。
数字取证工具则是帮助取证人员进行数据恢复和分析的工具，比如数据恢复软件、网络流量分析工具等。
为了提高计算机犯罪现场勘查取证技术的水平，必须加强相关人员的培训和教育。
现场勘查人员需要具备扎实的计算机和网络知识，同时还需要掌握正确的勘查方法和技巧。
还需要开发先进的取证工具和技术，以便能够更好地应对复杂的计算机犯罪行为。
还需要加强国际合作，共同研究和应对计算机犯罪，以保护数字化社会的安全和稳定。
计算机犯罪现场勘查取证技术的研究对于打击和防范计算机犯罪具有重要意义。
通过不断提高现场勘查和数字取证技术的水平，我们能够更好地追踪犯罪分子并获取相关证据，为维护社会的安全和稳定做出贡献。
计算机取证技术的
网络犯罪案件的取证分析通常包括收集、保存、检查和分析数据证据，以识别和验证与犯罪活动相关的证据。分 析人员需要具备专业的计算机知识和法律知识，以确保取证过程的合法性和有效性。在分析过程中，常用的工具 包括网络监控软件、反病毒软件、数据恢复工具等。
数据泄露事件的取证分析
总结词
数据泄露事件的取证分析是指对数据泄露事 件进行调查和分析，以确定泄露原因、寻找 责任人，并采取措施防止类似事件再次发生 。
分析涉案行为
01
通过对涉案文件的分析，还原涉案人员的行为，如攻击行为、
数据泄露行为等。
识别攻击者02通过分攻击者的行为特征，识别攻击者的身份信息。
构建攻击路径
03
根据攻击者的行为特征，构建攻击路径，展示攻击者的攻击过
程。
计算机取证的报告阶段
编写取证报告
根据分析结果编写详细的取证报告，包括取证目标、 取证过程、分析结果等。
目的
为司法机关提供证据，协助案件侦破 ，维护社会公正和法律尊严。
计算机取证的重要性
打击犯罪
保障公民权益
计算机取证技术是打击计算机犯罪的 重要手段，通过对电子证据的收集和 分析，可以锁定犯罪嫌疑人，为案件 侦破提供有力支持。
计算机取证技术可以保护公民的隐私 权和财产权，防止个人信息被非法获 取和利用。
现代阶段
现代计算机取证技术已经与大数据、云计算、人工智能等技术相结合，实现了更加高效、 精准的电子证据收集和分析。同时，国际社会也加强了对计算机取证技术的重视和研究， 推动了相关法规和标准的制定和完善。
02
计算机取证的技术和方法
静态取证技术
01
02
03
文件系统分析
通过分析文件系统中的文 件、目录、数据等，提取 有用的证据信息。
网警是利用哪些技术抓黑客的档
网警的主要技术是取证，下面我们就来了解一下什么是取证技术。
一般看刑警电视剧比较多的人都知道，发生了什么案子首先是封锁和保护现场，不让任何人破坏现场，然后就是给现场做技术鉴定，使用各种手段尽量还原当时案发现场的情况并寻找凶手留下来的信息(比如指纹、凶器等等)。
而网警破案的第一步也是封锁现场，让调查人员来到计算机犯罪现场或入侵现场，寻找并扣留相关的计算机硬件。
这一步在计算机取证上也叫物理证据获取，一般网警在这一步做的主要事情是：保护寄存器、数据文件、交换区、隐藏文件、空闲磁盘空间、打印机缓存、网络数据区、用户进程存储区、堆栈、日志、缓冲区、文件系统中的数据不被破坏和修改。
还有就是获取内存和硬盘中的数据，顺序为先内存后硬盘，因为内存为易灭失数据而硬盘为相对稳定数据。
对内存数据的获取主要用内存检查命令和内存数据分析工具(如内存数据分析编辑器)来实现，而硬盘数据的获取也是通过专门的工具(如“美亚网警”多功能硬盘克隆机)对硬盘进行逐扇区的读取，将硬盘数据完整地克隆出来；第二步是就是对保护和提取的数据进行分析，它的范围包括现存的正常文件、已经删除但没有被新文件覆盖的文件、隐藏文件、受到密码保护的文件及加密文件等等。
分析数据常用的手段有：1．用搜索工具搜索所有的逻辑文件Slack磁盘空间、自由空间、未分配的空间中所有特定的数据。
打个比方说：在上午10点的时候发生了入侵事件，那么在使用搜索工具时肯定是首先搜索记录时间为10点左右的文件2．由于黑客在入侵时会删除数据，所以我们还要用数据恢复工具对没有覆盖的文件进行恢复3．对系统中所有加密的文件进行解密4．用MD5对原始证据上的数据进行摘要，然后把原始证据和摘要信息保存。
上面的就是网警在取证时所要进行技术处理的地方，然后根据分析的结果(如IP地址等等)来抓人。
下面介绍一些网警在取证时常用到的专业软件，对此方向感兴趣的朋友可以到网上去下载。
文件浏览器：专门用来查看数据文件的阅读工具，只可以查看但没有编辑和恢复功能，可以防止数据的破坏，Quick View Plus是其中的代表。
网络警察怎样追踪黑客的
2.Cloak：一个非常好的隐写术软件，能读文件进行加密并将其隐藏在位图文件。
3.Invisible Secrets：一个数据隐藏工具，能将数据隐藏在JPEG PNG BMP HTML和WAV中。
实战
通过上面的学习，各位应该对网警的取证和黑客的反取证都有了一个大致的了解吧。前文已经说过本文的重点在黑客的反取证，所以下面就通过一个完整的模拟攻击过程来说明在攻防中所要注意的问题，以逃避网警的取证。
入侵的过程大致为：踩点→入侵→清脚印。
踩点：这个时候主要注意的问题是IP地址有没有暴露，要是出现了“出师未捷身先死”的情况可就不好了。这里首先要纠正很多拨号及ADSL上网的朋友在攻防实验中一个不好的习惯，我们知道这些上网用户采用的是动态IP，在上网时拨通ISP(网络服务提供商)的主机后，自动获得一个动态IP地址，很多朋友以为这个IP地址是随便分给你的，所以在入侵的时候并没有隐藏IP，其实没有这么简单。这些IP地址不是任意的，而是该ISP申请的网络ID与主机的ID的合法区间中的某个地址。这些用户任意两次连接时的IP地址很可能不同，但在每次连接的时间内的IP地址是不变的。所以网警要追查动态IP的情况，只要通过网络运营商的认证系统，找到与之捆绑的账户，就可以确定上网者。所以动态IP也和静态IP一样，是可以轻易找到上网者的。这是因为法律规定，为了保护计算机信息的安全，网络运营商 Interent服务机构，其IP地址等信息必须在公安机关公共信息网络勘察部门备案。
隐写术说的通俗一点就是把一些证据隐写在正常文件下，从而躲过网警的数据分析。比如我要把文件“黑客与网警的较量.doc”隐藏在“我的相片.bmp”中。
浅析计算机犯罪取证与反取证
On Computer Crime Forensics and Anti-Forensics 作者： 王彩玲[1] 陈贺明[2]
作者机构： [1]河南公安高等专科学校,河南郑州450002 [2]河南广播电视大学,河南郑州450002
出版物刊名： 吉林公安高等专科学校学报
页码： 13-15页
主题词： 计算机犯罪 取证 反取证 数据擦除 国家信息 网络安全
摘要：计算机犯罪取证主要围绕证据的获取和证据的分析。
主要过程包括保护和勘查现场、获取物理数据、分析数据、追踪源头、提交结果等。
计算机反取证就是删除或者隐藏入侵证据，使取证工作无效。
反取证技术主要有数据擦除、数据隐藏等，数据擦除是最有效的反取证方法。
从取证与反取证两方面分析计算机犯罪的特征，研究反取证技术的根源，可有效地保护国家信息网络安全，打击犯罪。
计算机系统信息隐藏反取证技术
Ｋｅ ｙ ｗｏ ｒ ｄ ｓ ： ｄ ａ ｔ ａ ｈ ｉ ｄ ｉ ｎ ｇ ； ａ ｎ ｔ ｉ － ｆ ｏ ｒ ｅ ｎ ｓ ｉ ｃ ； ｈ ｉ ｄ ｄ ｅ ｎ ｐ ａ ｒ ｔ ｉ ｔ ｉ ｏ ｎ ； ｃ ｌ ｕ ｓ ｔ ｅ ｒ ｄ ｉ ｓ ｔ ｒ ｉ ｂ ｕ ｔ ｉ ｏ ｎ ； Ｓ ｌ ａ ｃ ｋ ｓ ｐ ａ ｃ ｅ ； ＮＴ Ｆ Ｓ
ｌ 引 言
随着计算机取证技术 的发展， 计 算机反取证（ Ｃ ｏ ｎ ｒ
ｐ ｕ ｒ ｅ ｒ Ａ ｎ ｔ ｉ ． Ｆ ｏ ｒ ｅ ｎ ｓ ｉ ｃ ） 技术也正悄然兴起，反取证针对计
研究 了现代计算机 系统各种数据 隐藏 方法和策 略，以
及数据隐藏 反取证技术对计算机取证造 成的影 响．
算 机取证过 程的各个 阶段， 破 坏 电子证据 的调查 、保
护 、收集 、分析和法庭诉讼 ， 减 少被获取 的证据数量 ，
降低所获 取证据 的质 量．这对取证 技术 的发展形成 了
２ 计算机硬件信 息隐藏
２ ． １ ＨＰ Ａ和 Ｄ Ｃ Ｏ数 据隐藏
（ １ ）主机保护 区域 Ｈ Ｐ Ａ
２ ０ １ ３年 第 ２ ２卷 第 ５期
ｈ ｔ ｔ ｐ ： ／ ／ ｗ ｗ ｃ ＿ Ｓ － ａ ． ｏ ｒ ｇ ． ｃ ｎ
计 算 机 系 统 应 用
计算机系统信息隐藏反取证技术①
李佟 鸿， 王 宁， 刘志军
（ 湖 北警官学院， 武汉 ４ ３ ０ ０ ３ ２ ）
计算机反取证
有不对的请大家指教！
附件：x.zip(1171K)下载次数:438顶部 sunwear 发布于:2006-10-1308:42 [1楼]
如果工具是你写的我就加精了。
但仅仅是工具介绍，放在原创区已经很勉强了。
如果是介绍反计算机取证技术细节的document也可以。
什么是“IDS入侵检测技术”
IDS一般有两种使用方式：基于网络和主机。基于网络的IDS一般安装在一个网段，检测网段内每台机器的流量和未授权活动记录所有Ri志，基于主机的一般在单各主机上执行检测记录特定事件或者模式边变化，等等。
下面说反取证技术
一般常见的技术有代理，跳板，数据抹擦等等。
当你进入跳板肉鸡操作就会有很多的记录比如说远行痕迹、网络浏览地址、缓存、历史记录和临时文件Ri志记录礡i庑┤绻阒煌ü胀ǖ腞i志清除工具都可以恢复，所以我向大家推荐几款工具Powerful.Cookies通过3次覆盖技术删除电脑上所以执行痕迹，不针对Ri志。
2006-09-1319:01 4,789,401取证与蜜罐（计算机取证技术部分）.pdf
2006-09-1319:01 254,032浅析电子证据的法律定位.pdf
2006-09-1319:01 69,632论计算机取证工具及其检测.doc
2006-09-1319:01 1,173,920计算机取证与Ri志分析.pdf
2006-09-1319:02 827,392计算机取证技术.ppt
2006-09-1319:02 540,808计算机取证的技术和方法.pdf
2006-09-1319:02 167,750计算机反取证技术研究.pdf
小议计算机犯罪及取证技术
小议计算机犯罪及取证技术
计算机犯罪是指利用计算机和网络技术从事非法活动的行为。
随着计算机和网络的广泛应用，计算机犯罪也日益增多，种类繁多，给社会安全和个人财产安全造成严重威胁。
计算机犯罪包括黑客攻击、网络诈骗、网络盗窃、软件盗版、网络色情等。
对计算机犯罪进行取证是为了收集和保留与犯罪现场或作案手段相关的数码证据。
取证技术主要包括数字取证和网络取证。
数字取证是指通过对计算机硬件、软件以及存储介质进行检验和分析，从中提取出与犯罪行为相关的数据和信息。
数字取证技术包括数据恢复、数据加密解密、文件系统检查等。
数字取证要求取证过程的严密性和可靠性，确保取得的证据符合法律规定，能够作为法庭上的证据使用。
网络取证是指通过对网络流量、网络日志和网络设备进行分析和提取，获取与计算机犯罪相关的证据。
网络取证主要包括网络流量分析、应用行为分析、数据包捕获等技术。
网络取证要求取证过程的高效性和准确性，能够迅速定位到犯罪行为的源头，并找出犯罪者。
对于计算机犯罪和取证技术，社会应加强对计算机安全的管理和监管，提高计算机技术和安全意识，加强法律法规的制定和实施，以保护个人和社会的利益。
同时，需要不断提升计算机犯罪取证技术的研发和应用，提高取证效率和可靠性，为司法机关提供有力的证据支持。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
计算机反取证技术
一、引言
如今计算机犯罪日益猖獗，围绕计算机取证与反取证的斗争一直在进行。
在计算机网络犯罪手段与网络安全防御技术之间的对抗不断升级的形势下，计算机取证作为一门交叉学科，越来越受到计算机安全和法律专家的重视，与此同时，一种新的反计算机取证技术也正悄然兴起。
二、反取证技术
在计算机取证技术发展的同时，犯罪分子也在绞尽脑汁对付取证。
反取证技术就是在这种背景下发展起来的。
与计算机取证研究相比，人们对反取证技术的研究相对较少。
对于计算机取证人员来说，研究反取证技术意义非常重大，一方面可以了解入侵者有哪些常用手段用
来掩盖甚至擦除入侵痕迹：另一方面可以在了解这些手段的基础上，开发出更加有效、实用的计算机取证工具，从而加大对计算机犯罪的打击力度，保证信息系统的安全性。
它主要包括三类技术：数据擦除、数据隐藏和数据加密。
综合使用这些技术，将使计算机取证更加困难。
三、反取证技术介绍
(1)数据擦除
数据擦除是阻止取证调查人员获取、分析犯罪证据的最有效的方
法，一般情况下是用一些毫无意义的、随机产生的‘O’、‘1’字符串序列来覆盖介质上面的数据，使取证调查人员无法获取有用的信息。
反取证的最直接、最有效做法就是数据擦除，它是指清除所有可能的证据索引节点、目录文件和数据块中的原始数据。
反取证工具TDT 专门设计了两款用于数据擦除的工具软件Necrofile和Klismafile 。
其中，Necrofile用于擦除文件的数据，它把所有可以找到的索引节点的内容用特定的数据覆盖，同时用随机数重写相应的数据块。
目前最极端的数据擦除工具是Data Security Inc、开发的基于硬件的degaussers工具，该工具可以彻底擦除计算机硬盘上的所有电磁信息。
其它用软件实现的数据擦除工具既有商业软件包，也有开放源代码的自由软件，其中最有名的是基于UNIX系统的数据擦除工具The Deft—ler’S Toolkit，The Defiler’S Toolkit 提供两个工具来彻底清除UNIX类系统中的文件内容
(2)数据隐藏
为了逃避取证，计算机犯罪者还会把暂时不能被删除的文件伪装成其他类型，或者把它们隐藏在图形和音乐文件中。
也有人把数据文件藏在磁盘上的隐藏空问里，比如反取证工具Runefs就利用一些取证工具不检查磁盘的坏块的特点，把存放敏感文件的数据块标记为坏块以逃避取证。
数据隐藏仅仅在取证调查人员不知道到哪里寻找证据时才有效，所以它仅适用于短期保存数据。
为了长期保存数据，必须把数据隐藏和其他技术联合使用，比如使用别人不知道的艾件格式或加密。
在Windows系统中，更改文件的扩展名是一种最简单的数据
隐藏方法。
例如，某人不想让别人看到其WOrd文档里的内容，并且不想使其成为对自己不利的证据，那么他可以将文件的扩展名从．doc改为．ipg。
这样的话，无论是InternetExploer还是图标外观，都显示该文件为一个JPEG图片。
对于经验不足的调查取证人员，可能永远也不会
想到该文件其实是一个文档，即使你双击该图标，Windows也会试图使用默认的JPEG文件的浏览器来打开它。
(3)数据加密
数据加密是用一定的加密算法对数据进行加密，使明文变为密文。
但这种方法不是十分有效，因为有经验的调查取证人员往往能够感觉到数据已被加密，并能对加密的数据进行有效的解密。
随着加密技术的普及，越来越多犯罪分子使用加密技术。
一个例子就是在DOS 攻击中对控制流进行加密。
一些分布式拒绝服务(DD0S)工具允许控制者使用加密数据控制那些目标计算机。
BO2000也对控制流进行了加密以试图躲过入侵检测软件。
除此之外，黑客也可以利用Root Kit(系统后门、木马程序等)，避开系统日志或者利用窃取的密码冒充其他用户登录，更增加了调查取证的难度。
四、结语
目前的反取证技术还处于起步阶段，越来越多的安全技术与理论，尤其是为保护个人稳私所采取的加密、隐藏、数据擦除等技术，已经被应用于计算机犯罪和反取证。
面对反取证技术的发展，计算机取证系统的设计需要进一步加强现有软件系统的防范措施。
可以预
见，取证与反取证的对抗必将越来越激烈，只有对反取证技术深入了解，才能不断提高取证软件的可靠性、可信任性。
在某种意义上，保护隐私以外的反取证是一种犯罪行为，对反取证技术的研究将成为信息安全与取证技术研究的重要方向。
参考文献：
1、殷联甫——计算机反取证技术研究
2、苏成——计算机取证与反取证的较量
3、张有东王建东朱梧槚——反计算机取证技术研究。