网络犯罪侦查的IP定位跟踪技术研究

图１ Ｐ Ｉ定位跟踪 系统软件界面
理位置。通过在互联网上收集公布的国内外 Ｉ Ｐ分配数 据，以及 个人搜集或验证 的 Ｉ 据。然后 ，再使用编程方法开发一个软 Ｐ数 件系统 ，就可以实现对输入的 Ｉ Ｐ地址在数据库中查询后输出其 对应 的真实地理位置。 在计 算机 网络犯罪的侦查取证 过程中，获取了特定 目标主
Ａｂ ｔａ ｔ ｓ ｒ ｃ ：Ｔｈ ｓｐ ｐｅ ｐ ｉ ｓｔ ｏｍｐ ｅ ｔ ｏ ｋ ｔ ｃ ｏｌｇｙ ａ ｄ ｔｅ ｄａａ ａ ｅ ｔ ｏ ｙ ｉ ｏ ｔ ｒ ｃ ｉａ ｉ ａ ｒａ ｐｌｅ ｈｅｃ ｕｔｒｎｅｗ ｒ ｅ ｈｎ ｏ ｎ ｈ ｔ ｂ ｓ ｈｅ ｒ ｎｔ ｈｅｐ ａ ｔｃ ｌ ｉｔｒ ｔｃ ｉ ｅ ｉｖｅ ｔ ｔｏ ｐｒ ｐ ｅ ｎ Ｉ ａ ｒ ｓ ｏｃ ｔｎ ｎ ｒｃｎｇ ｔｃ ｏ ｏ ｙ ｗｈｉｈ ｉ ｅ ｎ ｔ ｅ ｉｔｍ ｅ ｎ ｅｎｅ ｒｍ ｎ ｓｉ ｉｎ， ｏ ｏｓ ｓａ Ｐ ｄｄ ｅ ｓｌ ａｉ ｇ ａ ｄ ｔａ ｉ ｅ ｈｎ ｌ ｇ ｇａ ｃ ｓｕｓ ｄ ｉ ｈ ｎｅ ｔ ｃ ｉ ｅ ｉｖｅ ｔｇａｉ ｎ．ａ ｈ ｎ ｕ ｅ ｈｅ ｐ ｏｇ ａ ｒｍ ｎ ｓｉ ｔｏ ｎｄ ｔ ｅ ｓ ｓｔ ｒ ｒ ｍｍ ｉ ｇ ｍ ｅ ｈ ｕｃ ｓ Ｃ＋＋ Ｂｕｉ ｒａ ｉ ｎ ｔ ｏｄ ｓ ｈ ａ ｌ ｎｄ Ｗ ｎＳｏ ｋ ｔ ｖ ｌ ｄｅ ｃ ｏ ｄｅ ｅｏｐ ａ ｓ ｆｗａ ｅｓ ｔ ｍ ｃ ｓｕ ｅ ｏｒｔｅＩ ｄ ｅ ｓｌｃ ｔｎ ｎ ｒ ｃｎ ｎｔｅｉ ｔｍ ｅ ｒｍ ｅ ． ｏ ｔ ｒ ｙｓｅ ｗｈｉｈｉ ｓ ｄ ｆ ｈ Ｐａ ｄｒｓ ｏ ａ ｉｇａ ｄｔａ ｉ ｇｉ ｈ ｎｅ ｔｃｉ ｓ Ｔｈｉ ｙｓｅ ｃ ｎ ｂ ｓ ｄ ｓｓ ｔｍ ａ ｅｕ ｅ ｉｔ ｈｅｉ ｔｒ ｅ ｒｍ ｅ ｉｖｅ ｔｇ ｔｏ ｉｅ ｔｙ ｒ ｖｉｅ ｓ ｎ ｏ ｔ ｎｅ ｎ ｔｃ ｉ ｎ ｓｉ ａｉ ｎ ｄ ｒ ｃｌ，ｐ ｏ ｄ ｏｍｅ ａ ｓｓａ ｅ ｆ ｒｔ ｕｂ ｉ ｅ ｕｒｔ ｏ ｇ ｎ ｏ ｓ ｖ ｈ ｓ ｉｔｎｃ ｈｅｐ ｌｃ ｓ ｅ ｉ ｏ ｙ ｒ ａ ｓｔ ｏｌｅ ｔｅ ｉｔｒ ｃ ｒｍ ｅｃ ｓ ｓ ａ ｄ ｉ ｎ ｅ ｔｃｉ ａ ｅ ， ｎ ｍｐｒ ｖ ｈｅｅ ｃｅ ｃ ｆｔ ｅｐ ｌｃ ｍ ｅ ｒ ｃ ｏ ｎｉ ｔｒ ｅ ｒｍ ｅｂ ｈ ｖｏｒｇ ｅ ｔｙ ａ ｏ ｅｔ ｆ ｉｎ ｙｏ ｏ ｉｅ ｎｃ ａ ｋ ｄ ｗｎ ｏ ｎｅ ｎ ｔｃｉ ｅ ａ ｉ ｒａ ｌ． ｉ ｈ
要 在 应 用 程 序 中获 取 本 计 算 机 的 Ｉ Ｐ地 址 ，可 以使
用 ＷｉＳ ｃ Ｉ 实 现。 本 程 序 中 利 用 Ｗｉｓ ｃ Ｉ ｎ ｏ ｋＡＰ 来 ｎ ｏ ｋＡＰ 的
ｇｔｏｔａ ｅｈ ｓｎ ｍｅ函数取得本地计算 机的标准 主机 名，ｇｔｏｔａ ｅ ｅｈ ｓ ｍ ｎ 函数 的声明方 式如下 ：
｛ ｃ ａ ｓＮ ｍｅ２ ６； ｈ ｒ ｔ ａ ［５ ］ Ｈ０ ／返 回主 机 名 （ｏｔ ａ １ ／ ｈ ｓｎ ｍｅ ｇ ｔ０ｔａ （ ｏ ￡ａ ，ｉｅｆＨ ｓ ｍｅ） ｅｈｓｎ ｍｅＨ ｓＮ ｍｅｓｚｏ（ ｏｔ Ｎａ ） ； ｒｔｒ Ｓｒａ（ ｓＮ ｍｅ ； ｅｕｎ（ｔ ｓＨｏｔａ ） Ｐ ） ｝
有对应 真实地理位 置的 Ｉ Ｐ地址数 据库 ，在 这个数 据库中，每
一
算机 名检测” 远 程主机定位 ” 、“
和 “ 程 主 机 跟 踪 检 测 ” 对 远 。
个 Ｉ 址或 Ｉ Ｐ地 Ｐ地址段都 对应该 Ｉ Ｐ地址或地址段 的真 实地
Ｆｒ ｌ ｏｍ 及其 各个控件的屙 『进行 生
正确 设置后 ，生成 的 Ｉ Ｐ定位跟
ｆ
。
—
拜蟪
瓣 ＝ ¨ ｌ
地点 。各 种应 用程 序获取 Ｉ 地址 的实质就是 分析 Ｉ Ｐ Ｐ数据报
头并从中取 出源或 目的 Ｉ Ｐ地址 删 。
， 罐群孝墒 霸
｜
ｉ 难赫＇镰 啭 钱 龉 昂 峨 ＇ 、 ０菇 霹
嚣 ０
｜。 ｉ 一 豫 等 ｔ
…
ｙ 捌瞎 尊 罅 霸 龋蓐鬈 ｜ 。¨ ¨
≮
｜， ｜
，
１ ． ２计算机 网络犯罪侦 查取证 中ｌ地址 的定位 Ｐ
通过 网络通讯记录下对方 的 Ｉ Ｐ地址 ，依据 Ｉ Ｐ地址或域名
如
目羲： ＿
鬈≯ 嚣
｜ 。
曩
。 ｜ ０一
？ ！ ＿譬 璧等 蠡 ｊ 蝤
找出其所在地理 位置。首先根 据 Ｉ Ｐ地址 的分配 ，建立一个含
关键词 ：互联 网；计算机犯罪侦查；Ｉ Ｐ地址定位
中图分类 号 ：Ｔ ３ ３ ８ 文 献标识 码 ：Ａ 文 章编 号 ：１７ — １２（ ０１ ６ ０ ７— ３ Ｐ９． ０ ６ １ １２ ２ １ ）０— ０ ２ ０
Ｔｈｅ Ｒｅ ｅ ｒ ｈ ｏ Ｐ Ａｄｄｒ ｓ ｃ ｔｎ ｎｄ Ｔｒ ｃ ｎｇ Ｔｅ ｈ ｌ ｇ ｎ ｓ ａ ｃ ｆＩ ｅ ｓＬｏ ａ ｉ ｇ ａ ａ ｉ ｃ ｎｏ ｏ ｙ ｉ
ｊ ｅｈ ｓｎ ｍｅ（ ＵＴ ｃ ａ ＡＲ Ｉ Ｂ ｅＩ Ｉ ａ ｌｎ ） ｎ ｇ ｔ ｏ ｌａ Ｏ ｈ ｒ Ｆ Ｉ Ｉ． ｉ ｍｅｅ Ｄ Ｎ ｎ ｎ
侦查范围 、缩短 办案时间，提高工作效率 。
１３计算 机网络犯罪侦查取证 中ｌ地 址的跟踪 ． Ｐ
根据 侦查 的需要，可以设 计在 连线 的情况下 程序 利用 网
２ １年第Ｏ 期 ０１ ６
Ｉ ｏ： ０３ ６ ／ｉｓ ６ １１ ２ ０ １０ ２ ｄ ｉ１ ９ ９ｊｓ ｎ１ ７ －１ ２ ２ １ ６０ ５
Ｐ
摘
利 工具 ，大大提 高 了公安人 员打 击网络犯 罪行 为的 效率
警 窖 百度文库
（中国人 民公安 大学 ，北京 １ ０ ３ ０ ０ ８）
就 表示主机可 以提 供此服务，如果 在特定 的时 间内没有应答， 就表 明远程 主机不提供此服务 嘲。 根 据上 面的理 论，可以开发一个 软件系统 ，通 过查 询该
可以写出获取主机名的 Ｒ ｓｌ Ｈｏｔ ａ ｅ函数代码如下： ｅｏ ｅ ｓ ｍ ｖ Ｎ
Ａｎ ｉｔｉ ｇＲ ｓ ｌｅ ｓＮａ 『 ｉ １ ｓＳｒｎ ｅ ０ｖ Ｈ０ ｔ ｍｅｖ ｄ ０
●
收稿时间： ０ １ ０ — ６ ２ １— ５ ０ 作者简介： 张跃仙 （ ９ ７ ）男，山东，硕士研究生 ，主要研 究方向 ：公 安信息系统与指挥决 策。 １８
＿７ ｌ ２
２ １年第Ｏ 期 ０ １ ６
Ｉ Ｐ封装技 术 的本质就 是 ： 文本的包被加 密，封装在外 纯
层的Ｉ Ｐ报头用来对加密 的包 进行 网络上的路 由选择 。到达 另
机的 Ｉ Ｐ地 址后 ，利用该 软件系统 ，在脱机 的情况下从数据库 中查询出具有该 Ｉ Ｐ地址 的主机 的真实地理位 置 ，就可 以缩小
踪系统软件界 面如 图 １ 所示。下面将创建三个 Ｔ ｕｔｎ控件 的 Ｂｔ ｏ Ｏ Ｃｉ 事件处理函数 ，实现上面所述的各个功能。 ｎｌｋ ｃ
２２本地主机ｌ 地址和计算机名检测功能的设计 与实现 ． Ｐ
亟待解 决的课题 。计算机 犯罪案件的侦破工作一方面要坚 持和遵循传统侦破 方法 ，另一方面由于此类犯罪属于智 能犯 罪，它有
自身 独特 的特点和内在的规 律。冈此 ，应着手对 网络犯罪侦查技术进行专 门的研 究，以适应高速度发展 的信息社会的需要 … 。针 对 网络犯罪的电子监控和电子识别技 术在对 网络犯罪活动的侦查取证 过程中，对特定 Ｉ Ｐ地址进 行获取 、定位和跟踪 以及对 目 标
用软件等 ， 可以获取 网络主机 的 Ｉ 都 Ｐ地址 ，这些 Ｉ 地址有些是 目 主机 的真实 Ｉ，有些是 伪装过的 ｌ Ｐ 标 Ｐ 。
在某种程度上 ，可以说 网上 的任何访问者都能被查出来 ，互联网是基于 Ｉ Ｐ地址 的，一 台主机在 互联 网上 的一切行为都要打 上Ｉ Ｐ地址的烙印 ， 因为 网络通讯 都有数据发送者与数 据接收者， 以只要有人和你的主机进行 通讯 ， 所 你都 能知道对 方的 Ｉ Ｐ地址 ， 即使 对方在 防火墙后也至少能够知道对方 防火墙 的地址 。
一
２１程序 界 面 的设 计 ．
Ｉ Ｐ定位跟 踪系统软件界 面 设 计 ：运行 Ｃ ＋ ｕｌｅ６ ，创 ＋ Ｂ ｉ ｒ． ｄ ０ 建一个新 的项 目 文件，会 出现一 个 窗体 Ｆ ｒ ，在 Ｆ ｒ 上放 置 ｏｍｌ ｏｍｌ ＝个 Ｔ ｒ ｐ ｏ 控件分别用于三 ： Ｇｏ Ｂ ｘ ｕ 个模块 ：本地主机 Ｉ “ Ｐ地址和计
Ｉ ｔ ｒ ｅ ｉ ｅ ｎ ｓｉ ａ ｉ ｎ ｎ ｅ ｎ ｔＣｒｍ ｓＩ ｖｅ ｔｇ ｔｏ
ＺＨＡＮ Ｇ ｅ ｘ ａ Ｙｕ — ｉ ｎ
（ ｈｎ ｓ Ｐｅｐｅ Ｃ ｉｅｅ ｏ ｌ Ｐｕ ｌ Ｓ ｃ ｒｔ ｉｅｓｔ， ｏｎ ０ ０ ８ Ｃ ｉａ） ｂｉ ｅｕｉ ｃ ｙＵｎｖｒｉ Ｂｅ＇ｇ１ ０ ３ ， ｈｎ ｙ ｉ
要 ：该文将计 算机 网络技 术和数 据库理 论应 用于 实际的 网络犯 罪侦 查 ，提 出了用 于网络犯 罪侦查取
证的 Ｉ Ｐ定位跟踪技 术 ，并在 此基础 上利 用 ｃ ＋Ｂ ｉｅ 和 ＷｉＳｃ ＋ ｕｄｒ ｌ ｎｏｋ等编程 方法 开发 了一 套针 对计算机 网络犯
罪的 Ｉ Ｐ定位跟踪软 件 系统。该 系统 可直接 应 用于 网络犯 罪 的侦 查 办案 ，为公 安部 门破 获 网络犯 罪案件 提供 有
Ｉ Ｐ主机信息的刺探就尤为重要。
１网络犯罪侦查 的 Ｉ Ｐ定位跟踪技术基本原理
１１计算机网络犯罪侦查 取证 中ｌ地址的获取 ． Ｐ
在计算机 网络犯罪侦查取证 过程中，获得 Ｉ Ｐ地址的方法很多，比如通过对 Ｉｔｒｅ 国际出Ｅ ｎｅｎ ｔ ｌ 数据的过滤 、 过对 网络中传 通
输的电子数 据的监 听、查询互联 网管理机构数 据库 、通 过网络扫描或 网络监听、ｅ ｉ监 控 ，或使用一 些显示 Ｉ ｍａｌ Ｐ的外挂捅件应
瓣 鼯黼 磷
瑚 剃 甜 黼辫
瓣
… ｔ 峨 一ｆ 一… 一
｜ 喜 《 嚣＿ 蓐 ， 爨
？， 嚣
■ 一
｜ － ｜｜ … ÷ 磐｜ － Ｉ 萼‘ 疹
— — — 一
｜
镬 舶 凄 冀
端 时，外层 的 Ｉ 头被拆开，报 文被解密，然后送到 收报 Ｐ报
络技 术对远程主机进行跟 踪和查询，获得具有该 Ｉ 址主机 Ｐ地
其中参 数 ｎ ｍ 返 回 ｃａ 型的本地 主机 名，ｎｍ ｌｎ ｉ ａｅ ｈｒ ａ ｅｅ 是 ｎ ｔ 型的 ｎｍｅ ａ 参数长度 。
的一 些有用信息，以帮助 侦查取证 ｌ ４ 】 。 在计算 机 网络 犯罪侦 查取证 过程 中，对 目标 主机 的主机 状 态进行监 视 和跟 踪 、记录 ，主要是 监控 目标主机是 否提 供 某项 服务。由于 这些 常用的服 务总是 使用特定的默认端 口，所 以要 想跟 踪远程 主机是否 提供某 项服务，关键 是 以此服 务的 协议 向远 程 主机 的特 定端 口发 送一 个 数据 包 ，如 果有 应答，
Ｋ ｅ ｒ ：ｉｔｍ ｅ； ｏ ｐ ｔｒｃ ｉ ｅ ｅ ｔｇ ｔｏ ； Ｐ ｄ ｒ ｓ ｏ ａｉ ｙ ｗｏ ｄｓ ｎ ｅ ｔ ｃ ｍ ｕ ｅ ｒｍ ｓｉ ｎｖ ｓｉａｉ ｎ Ｉ ａ ｄ ｅ ｓｌｃ ｔ ｎｇ
０引 言
随着计算机 和网络技 术在各 个领域 中的迅速普及与广泛应 用，计算 机犯罪和 网络犯罪案件 大幅度增长 ，这些 都给社会 造成 了巨大 的经济损失 ，甚至危害到社会 的安定。计算机犯罪的问题越 来越引起人们 的关 注，而计 算机犯罪的侦 查取证则成为了一个