电子数据取证技术

第1章 电子数据取证概述 1 1.1 电子数据与电子数据证据 1 1.1.1 电子数据的概念 1 1.1.2 电子数据证据的概念 2 1.1.3 电子数据证据的特点 2 1.2 电子数据取证 4 1.2.1 电子数据取证的概念 4 1.2.2 电子数据取证的原则 5 1.2.3 电子数据取证面临的问题与发展 7 第2章 电子数据取证规范 12 2.1 电子数据取证技术标准 12 2.1.1 国际技术标准 12 2.1.2 国家技术标准 15 2.1.3 行业技术标准 15 2.2 电子数据取证程序 17 2.2.1 启动阶段 18 2.2.2 现场保护与勘查阶段 19 2.2.3 电子数据获取与固定阶段 20 2.2.4 电子数据分析与检验阶段 20 2.2.5 评估阶段 20 2.2.6 证据保管、移交与展示阶段 20 2.3 电子数据取证工具 21 2.3.1 根据工具的可靠性进行分类 21 2.3.2 根据工具的功能进行分类 22 2.3.3 根据应用场景分类 24 2.4 电子数据取证方法 24 2.4.1 取证方法概述 24 2.4.2 取证方法分类 24 2.5 电子数据取证实验室 26 2.5.1 电子数据取证实验室的重要性 26 2.5.2 电子数据取证实验室的认可体系 27 2.5.3 电子数据取证实验室的质量控制 32 第3章 取证技术基础 34 3.1 存储基础 34 3.1.1 存储原理 34 3.1.2 存储系统结构 34 3.1.3 存储设备 38 3.2 文件系统及编码 40 3.2.1 文件系统 40 3.2.2 编码与解码 52 3.3 恶意代码分析基础 59 3.3.1 恶意代码简介 59 3.3.2 恶意代码的分类 60 3.3.3 恶意代码的分析原理 60 第4章 Windows操作系统取证技术 66 4.1 Windows日志取证技术 66 4.1.1 Windows事件日志 66 4.1.2 NTFS日志 72 4.1.3 IIS日志 75 4.1.4 其他日志 78 4.2 Windows注册表取证技术 79 4.2.1 Windows注册表简介 79 4.2.2 Windows注册表取证分析 81 4.3 Windows内存取证技术 87 4.3.1 Windows内存简介 87 4.3.2 Windows 内存取证方法和 分析技术 90 4.4 Windows其他取证技术 93 4.4.1 浏览器取证分析 93 4.4.2 脱机打印信息分析 103 4.4.3 跳转列表分析 103 4.4.4 *近访问信息分析 104 4.4.5 可执行文件分析 105 第5章 UNIX/Linux操作系统取证技术 108 5.1 UNIX/Linux操作系统的特点与 常见类型 108 5.1.1 UNIX操作系统的特点与 常见类型 108 5.1.2 Linux操作系统的特点与 常见类型 110 5.2 UNIX/Linux操作系统取证 112 5.2.1 Linux文件系统层次体系与 常见目录结构 112 5.2.2 Linux文件系统的特点与取证 117 5.2.3 Linux日志文件的特点与取证 120 5.2.4 Linux网络信息分析 129 5.2.5 Linux内存信息分析 133 5.2.6 其他信息源分析 138 第6章 macOS操作系统取证技术 143 6.1 macOS操作系统 143 6.1.1 macOS操作系统的特点 143 6.1.2 不同版本macOS的差异 144 6.1.3 macOS取证主要信息源 146 6.2 macOS系统取证 147 6.2.1 macOS支持的文件系统及特点 148 6.2.2 macOS日志文件、配置文件 分析 150 6.2.3 macOS网络信息分析 153 6.2.4 macOS浏览器信息分析 153 6.2.5 macOS邮件客户端信息分析 156 6.2.6 其他信息源分析 157 第7章 iOS操作系统取证技术 158 7.1 iOS操作系统取证概述 158 7.1.1 iPhone手机的发展 158 7.1.2 iOS操作系统简介 159 7.1.3 备份文件取证 162 7.1.4 逻辑取证 165 7.1.5 物理取证 165 7.2 iOS操作系统常见逻辑数据提取 分析 166 7.2.1 短消息的提取和分析 166 7.2.2 通话记录的提取和分析 167 7.2.3 联系人信息的提取和分析 169 7.2.4 浏览器历史记录的提取和分析 169 7.2.5 邮件客户端信息的提取和分析 171 7.2.6 位置信息的提取和分析 171 7.2.7 其他信息源分析 171 7.3 iPhone备份文件的取证 172 7.3.1 备份文件的结构与分析 172 7.3.2 备份文件数据的破解和 提取分析 180 第8章 Android操作系统取证技术 182 8.1 Android智能手机取证概述 182 8.1.1 Android概况及发展历程 182 8.1.2 常见Android手机厂商及 系统特点 183 8.1.3 Android功能特点 184 8.1.4 Android取证准备工作 185 8.1.5 Android操作系统逻辑数据提取 187 8.2 Android操作系统常见逻辑数据 提取分析 189 8.2.1 短信息/彩信的提取和分析 189 8.2.2 通话记录的提取和分析 191 8.2.3 联系人信息的提取和分析 192 8.2.4 浏览器历史记录的提取和分析 195 8.2.5 邮件客户端信息的提取和分析 196 8.2.6 微信数据的提取和分析 198 8.3 Android密码绕过与物理取证 201 8.3.1 获取root权限 201 8.3.2 绕过Android设备密码 203 8.3.3 Android物理镜像提取 205 8.3.4 获取Android外置存储设备 镜像 209 8.3.5 Android物理镜像分析 209 8.3.6 Android数据恢复 214 第9章 网络取证技术 217 9.1 网络取证概述 217 9.1.1 网络取证的特殊性 217 9.1.2 常见网络协议介绍 219 9.1.3 网络取证的数据来源 227 9.2 网络实时取证与分析 228 9.2.1 数据包获取方法和途径 228 9.2.2 数据包分析的工具 229 9.3 网络非实时取证与分析 254 9.3.1 网络追踪与网络行为分析 254 9.3.2 P2P技术在网络犯罪中的应用 255 第10章 应用系统取证技术 259 10.1 伪基站系统取证技术 259 10.1.1 GSM简介 259 10.1.2 GSM中的鉴权、加密及解密 260 10.1.3 GSM的安全性 264 10.1.4 伪基站的危害 265 10.1.5 伪基站的原理和取证 266 10.2 P2P网贷系统取证技术 272 10.2.1 P2P网贷简介 272 10.2.2 网贷系统的结构 273 10.2.3 P2P网贷系统取证 278 10.3 赌博网站取证技术 281 10.3.1 赌博网站简介 281 10.3.2 网络赌博产业链 282 10.3.3 赌博网站页面取证 282 第11章 其他取证技术 289 11.1 区块链取证技术 289 11.1.1 区块链简介 289 11.1.2 区块链取证要点 293 11.2 云计算取证技术 294 11.2.1 云计算简介 294 11.2.2 云计算取证要点 296 11.3 智能系统取证技术 299 11.3.1 智能系统取证简介 299 11.3.2 智能系统取证要点 300 11.3.3 智能系统取证内容 300 第12章 电子数据取证综合案例分析 302 12.1 案情简介 302 12.1.1 主要案情 302 12.1.2 取证要求 302 12.1.3 主要难点问题 302 12.2 案件的证据固定 303 12.2.1 了解被入侵服务器的相关 参数及运行状态 303 12.2.2 制订证据固定计划 303 12.2.3 选择证据固定工具 303 12.2.4 连接到远程服务器 304 12.2.5 固定所有用户历史执行记录 305 12.2.6 固定系统时间 305 12.2.7 固定进程信息 306 12.2.8 固定网络连接信息 307 12.2.9 固定磁盘信息 307 12.2.10 固定网卡信息 308 12.2.11 固定用户信息 308 12.2.12 固定用户登录日志信息 309 12.2.13 固定Apache应用数据 310 12.2.14 固定Apache日志 310 12.2.15 固定数据库 311 12.2.16 固定数据库日志 312 12.3 数据分析过程 312 12.3.1 进程分析 312 12.3.2 分析网络连接 313 12.3.3 分析启动项 314 12.3.4 分析登录日志 314 12.3.5 分析错误登录日志 315 12.3.6 分析Web 317 12.3.7 分析Web日志 320 12.3.8 分析数据库 325 12.3.9 数据库Binlog日志转换 326 12.3.10 用户id为2613的用户操作 日志分析 327 12.3.11 用户id为1679用户操作 日志分析 330 12.3.12 数据库日志分析汇总 332 12.4 分析漏洞原因 332 12.5 调查结果与评价 340 参考文献 341