浅谈计算机动态隐秘取证系统

得 尤为重要 ：本 文在 介 绍 了计算 机动 态 隐秘 取证 后 ， 分析 了该 系统的 功能 ， 并详 细 阐述 了 系统 中主 要使 用 的 Ｇ Ｉ 枚举技 术。 ＵＤ 关键 词 ： 算机 ； 计 取证 ； Ｕ Ｄ； 举技 术 Ｇ １ 枚
中 图 分 类 号 ： ２ ３４ Ｕ ８ ．
文献标 识 码 ： Ａ
信 息 技 术
浅 谈 计算机 动态 隐秘 取证 系 统
ຫໍສະໝຸດ Baidu袁 尚 华
（ 川化 工职 业 技 术 学 院 ， 四 四川 泸州 ６ ６ ０ ） ４ ０ ５ 摘 要： 随着 信息 时代 的 到 来 ， 过计 算机 或 借助 计 算机 和 互联 网犯 案 的 事件 屡 屡发 生 ， 何 利 用计 算 机获 取 罪犯 的犯 罪证 据 就 显 通 如
／枚举符合 该 Ｇ Ｉ 的设备接 口 ／ ＵＤ 从上 个世纪开始 ， 就走 人人们的生活 、 件进行收集和获取 。 网络 工作等各 个方面 ， 发展越 来越 迅速 ， 并且 但是 ， ２ － 证信息传输功能。 ４取 动态隐秘取证系统 ｂ ｓｈ＝：ｅｕ ＤＥ ｕ ｅ ｉｅｎｅｆｃｓ Ｒｅｕ ． ＇ ｔｐ ｉｎ ｍＤ ｖｅｌｔｒ ｅ（ Ｓ ａ 随着 而来 的安 全问题 也越 来越 受 到 人们 的关 能够及时 的将取 证信息通过 网络传 输给取证人 ｈ ｅｌｆ ｅ ∥设 备信息集句柄 Ｄｖ ｏ ｔ ｎＳ， 以便及时分析证据 ， 行后续取证工作 。 进 ＮＵ Ｌ Ｌ 注。在 网络案件发送后 ，公安部 门首先需要取 员 ， ２ ． ５友好 的界面和完善的证据管理 ， 以便于 ，不需额外 的设备 描述 ， 证， 由于网络的广泛性 、 多样性 、 定性等特性 ， 不 ｌＧｕ ｄ ｐ ｉ， 从 办案 的业务实际需求 出发 ，对情 报的获取和 操作和对获取证据 的后续分析 。 ， ，ＧＵＩ Ｄ 案件 的侦破需 要一套新型能够 自动地进行信息 ３使用 的关键技术 及实现 为 了能更好 的实现 系统 所具 有的功 能 ， 本 （Ｉ Ｎ ）Ｃｕ ｔ／设 备 信息 集 里的 设 备 Ｕ Ｇｎ ｏｎ ／ Ｏ ， 取 证、能够 隐蔽地获取一些使用 常规 手段较难 进程 隐藏 技术 、 序号 获得 的电子证据 、并在取证 的过程 中具有 较高 系统采用 了移动设 备监控技术 、 的隐秘性 和安全性 的取证系统 。这类 较难 获得 文件加密技术 、 数据隐秘通信技 术和基于 Ｎ Ｆ ＴＳ ＆ｉ ａａ ｆ ｔ） ｄ ； 的电子 证据包 括 被取证 主 机上 的 各类 隐蔽 数 的 Ａ Ｓ Ｄ 文件隐藏技术。在此 主要分析移动设备 ／设备接 口信 息 ／ 据， 如经过加 密软件 加密的重要文档 以及移动 监控技术。 ｉ Ｒ ｓｌ ｔ ｅｕ０ ［ ｂ 监控 移 动 设 备 连入 主机 的方 法 主 要 有 ： 硬盘 、 密码 、Ｓ 盘等外围设 备上的重要数据信 ＵＢ ｛ ∥取得该设备接 口的细节泼 备路径） 息。 ＧＩ Ｕ Ｄ枚 举技术 、 系统消息监控 技术等 ， 在本 系 ｂＲｅ ｕｈ ＝ Ｓ ｔ Ｄｉ ｔｎｔｒａ ｅ ｖｃ Ｄｅ ｓ ｅｕｐ Ｇｅ Ｉ ｅｆｃ Ｄｅ ｉｅ － ｌ 计算机动态隐秘取 证 统中主要使用到的是 Ｇ １ 枚举技术 。 ＵＤ ａ 所谓 Ｇ Ｄ （ ｏ ｌ ｎｑ ｅＩｅ ｔ ｅ ， ＵＩ Ｇｌｂｌ Ｕ ｉｕ ｄ ｎｉ ｒ全 ｔ ｉ ｙ ｉ ｆ 计算机取证就是研究如何对计算 机和网络 ｈＤｅ ｌｆ Ｓ ｔ ｖ ｎｏ ｅ， 犯罪 的证 据进行 获取 、 保存 、 分析和 出示 的法律 球 唯一标识符 ）是 同类 或同种设备 的一种识 别 ，设备信 息集句柄 ／ 规范和科学技术。 码， 它是一 个 １８ｂｔ６字节） ２ ｉ１ （ 的整 形数 ， 以 可 ＆ｉｄ ｔ， ｆ ａ ａ 当系统在预计的计算机和网络违法犯 罪事 保证 在时 间和空 间上具 有唯一 胜。 用上述 Ａ Ｉ Ｐ 可以实现从 Ｇ Ｉ 到设备路 ＵＤ ， 设备接 口信 包 ／ 件正在发生之时 ， 了防止 违法犯罪事件 的进 函数 和数据结构 ， 为 ｐＤｅ ａ ｌ ｔ ｉ ， 主要代码实现如下 ： 步恶化 ，或者及时 的收集 违法犯罪活动 的证 径 的转换 ， ， 根据 Ｇ Ｉ ／ Ｕ Ｄ获得设备路径 ，设 备接 口细节设 备路径 ） ／ 据 ，采用动态取证系统 主动进行取证 的工作 方 Ｉ ＮＴＥＲＦＡＣＥ ＤＥＴ Ｌ Ｓ Ｅ ／ 输 出缓 冲 ＡＩ Ｉ ，／ Ｚ 式， 即将计算机取证结合 到入侵检测 、 远程监控 ／ ｌ ｕ ： Ｕ Ｄ 指针 ／ｐ ｉ Ｇ Ｉ Ｇ ｄ 等网络安全工具 和网络体系结构 中，在计算机 ∥ｐｚ ｅｉ Ｐｔ 设备路径 指针的指针 ｓ ｖ ｅａ： Ｄ ｃ ｈ 区大小 ＮＵＬ ， Ｌ ／返 回值： ／ 成功得到的设备路径个数 ， 可能 犯罪过程 中动态获取数 据并进行分析 ，实施 相 应的动作获取证据 ， 这种取 证方 式为动态取证 。 不止 １个 ，不需计算输 出缓 冲区大小 （ ／ 直接用设 定 这 种方法能迅速生成计算机 证据 ，减少调查 的 ｉｔＧｅＤ ｖｃ Ｐ ｔ（Ｌ ＧＵ Ｄ ｐ ｉ， ＰＩ 值） ｎ ｔ ｅ ｉｅ ａｈ Ｐ Ｉ ｌＧｕｄ Ｌ ＇＿ ’ 时间和降低对取证人 员的要求 。与静态取证相 Ｓ Ｒ ｐｚ ｖ ｅ ａｈ） Ｔ ｓＤｅｉ Ｐ ｔ ｃ ＮＵ Ｌ； Ｌ） ／不需额外 的设备描述 ／ 比， 动态取证 具有 主动性 、 时 胜 、 效性 等特 实 有 ｛ 点。 ｉ Ｒ ｓｌ ｆ ｅｕ０ （ ｂ 计算机和 网络犯罪活动一般持续 过程 比较 ／取 得 一个 该 Ｇ Ｉ 相关 的设 备信息 集 ／ ＵＤ ｛ 短暂 ， 涉案的 电子证 据也具有一 定的” 发性” 句柄 挥 ， ，复制设备路径到输 出缓 冲区 ／ 如 存储重要犯 罪证据 的移动 硬盘 、 Ｓ Ｕ Ｂ盘 等外 ｈ ｅ ｌｆＳ ｔ ：ｅｕ Ｄ Ｇ ｔｌｓＤｅｓ Ｄ ｖｎｏ ｅ ＝ ｓ ｔｐ ｉ ｅＣ ａｓ ｖ（ ＝ｔ ｐ ｐ ｚ ｅ ｉｅ ａｈ￣Ｃ ｕ Ｏ ｐ ｅａｌ＞ ｓ ｃ ｙ（ｓＤ ｖｃＰ ｔ ｒ ｏ ｎ ， Ｄ ｔｉ － １Ｇｕｄ ｐ ｉ， 围存储设 备 ， 短时间连入涉案 主机后 ， 在 即被犯 Ｄｅ ｉ Ｐ ｔ） ｖｅ ａｈ ｅ ； ， ｌｓ ／ｃａ ｓＧＵＩ Ｄ 罪 分子转移 、 藏匿 、 销毁 ， 这样就 很难 取得这 类 ＮＵＬＬ ， 设备 中的犯 罪证据。因此 ， 在实际取证业 务中 ， Ｊ 需要采用计算机动态隐秘取证。 ／ 无关键字 ／ ｌ ＮＵＩ ． Ｉ ２计算机动态隐秘取证系统整体功能 根据 实际需求 出发 ， 计算 机动态隐秘取证 ，不指定父 窗 口句柄 ／ ，关 闭设备 信 息 句柄 ／ 集 ＤＩ ＧＣＦ ＰＲＥＳＥＮＴ Ｉ ＤＩ ＧＣＦ ＤＥＶＩ ＣＥＩ Ｎ— 系统应该具有可靠性 、 隐蔽性 、 时性 和 自动性 实 ：ｅ ｐ ｉ ｅｔ ｙ ｅ ｉ ｌ ｏ ｉ （ ｅｌｆ － ： ｔ Ｄ Ｄ ｓ ｏ Ｄ ｖ ｅ ｆＬ ｔ ｈ ｖｎ Ｓ Ｓｕ ｒ ｅｎ ｓ Ｄ ｏ 的牦 点， 并且还需完成 以下功能 ： Ｔ ＲＦ １ Ｅ ＡＣ ： Ｅ ｅ； Ｏ ２ 外 嗣存储设备监控 功能。ｕ盘 、 ． １ 移动硬 ／ 前存在 的设备 ／目 盘等外围存储设备体积小 巧 、 方便 ， 使用 很容易 ｝ 被犯罪分 子藏 匿 、 坏 、 破 销毁 ， 导致这 类设 备 中 ， 申请设备接 口 ／ 数据空 间 采用 Ｇ Ｉ 枚举 的方法 ， 优点通过对 系 ＵＤ 其 的重要证据流失 ，因此本 系统最 主要的功能就 ｐ ｅａｌ Ｄ ｔｉ ＝ （Ｓ ＿ Ｖ ＣＥ Ｉ Ｔ Ｒ— 统 中相应 Ｇ Ｉ 设 备的枚举 ， 容易得 到该 设 Ｐ Ｐ ＤＥ Ｉ — Ｎ Ｅ ＵＤ 很 是对外 围存储设备 连入被取 证主机 的情 况进 行 Ｆ ＡＣＥ ＤＥＴＡＩ Ｄ Ｔ ） ｌ ａ ｌ ｃ Ｌ Ａ Ａ： ｏ ｌ ｌ （ ＇ ． ｂ Ａ ｏ Ｇ 备的详细信息 ， 如盘符 、 口 型 、 接 类 序列号 、 品 产 Ｌ ＥＭ ＺＥＲＯＩ Ｔ Ｍ ＮＩ ， 监控 ， 以实现后续取证功能。 Ｉ 等。但是 这种 方法 的缺点 也很 明显 ，由于 Ｄ Ｉ ＮＴＥＲＦＡＣＥ ＤＥＴ Ｌ ＳＺ ） ＡＩ ２ ． ２为了不让被取 证对象 发觉 ， 重要证 保证 ＧＩ Ｕ Ｄ具有唯一 陛 ， 采用移动存储设备 的 Ｇ Ｉ ＵＤ ＩＥ； 据信息或藏 匿犯 罪征据不被销毁 ，动 态隐秘 取 ｐ ｅａｌ＞ ｂ ｉｅ ＝ ｓ ｅ ｆ Ｐ Ｄ Ｉ Ｅ Ｉ 只能枚举出移动存储设 备的信 息，如想要得到 Ｄ ｔｉ ｃ Ｓｚ － ｉ ｏ（ ＿ ＥＶ Ｃ —Ｎ－ ｚ Ｓ ＇ ’ ＡＣＥ Ｄ Ｔ Ｌ ＤＡ Ａ； 证 系统必须具有很 高的隐蔽性 ，其 中包括取 证 ＴＥＲＩ Ｅ ＡＩ Ｔ ） 虚拟磁盘 的信息 ，则需采 用虚拟磁盘 的 Ｇ Ｉ ＵＤ 过程隐蔽 、 证据传 输隐蔽。 进 行枚举 ，这样 的程序 实现效率 不高 。另外 ， ２ ． ３密码数据及密钥获取 功能 。 动态隐秘取 ，逐一测试设备接 口， ／ 到失败为止 Ｇ Ｉ 枚举技 术缺乏触 发条件 ，需通 过监控注 ＵＤ 证系统能够通过键 盘记录 、 屏幕截取 、 密码分 析 ｗ ｉ ｏ ｅｕ ｈｌ Ｒ ｓｌ ｅ￣ ０ 册表 或结合前面 的系统 消息监控技术 ，才能达 等技术对被取证主机上 的密码 数据 以及 密钥 文 ｛ 到监控移�