基于内存分析的计算机动态取证工具的设计与实现.pdfVIP

中国人民公安大学学报(自然科学版) 兰Q!!±笙!塑盟!：!兰Q!! 基于内存分析的计算机动态取证工具的设计与实现 杨燕燕， 魏丰国， 王斌君 (中国人民公安大学，北京 100038) 摘要面对Et益猖獗的计算机犯罪，计算机犯罪侦查、取证难，特别是一纵即逝的动态数据证据，影响了侦查办 案的时机和对犯罪分子的定罪量刑。通过剖析Linux系统的内存结构，分析进程的活动情况，确定侦查线索和犯罪 证据，并通过相关软件系统的设计与实现，可视化展示这些动态数据，为公安机关侦查办案人员提供有效的辅助办 案工具。 关键词Linux内存结构；动态侦查和取证；取证工具；GNOME；glade3 中图分类号D918．2 据信息对案件现场重构具有重要意义。如恶意程序 0 引言 Slammer，就是只存在于内存中而从不向硬盘中 SQL 网络技术的快速发展在给社会生活带来日新月 写人数据等。 异变化的同时也使计算机犯罪日益猖獗。破获网络 证据是诉讼的关键，取证与司法鉴定是必经的 犯罪案件的关键在于计算机犯罪侦查和计算机电子 司法过程，获取具有可采信的证据是取证与司法鉴 数据取证。计算机取证指对存储在计算机系统或网 定的主要目的。在计算机取证时，必须遵循一定原 络设备中潜在的电子证据的识别、收集、保护、检查 则确保获得的证据合法有效。目前有静态证据收集 和分析，以及法庭出示的过程¨’2o。计算机取证分 原则日“1，但缺乏动态取证原则。经过分析和研究， 为静态取证和动态取证。静态取证又叫事后取证或 确定了以下几点动态取证时应当遵循的原则，以确 者实验室取证，是传统的取证方法，这种取证方式具 保电子数据的真实性和完整性。 有滞后性。有些重要的证据存在于内存等易失存储 (1)取证工具要尽可能地小，尽可能少地占用 器上，计算机关机时这些数据将会消失，而这些数据 目标机器的资源，为了确保证据的真实性，仅做拷贝 往往也是最重要、最关键的。计算机动态取证弥补 数据的工作，不做其他任何工作。 了静态取证缺乏实时性的缺点，通过技术手段，实时 (2)尽可能完整地对目标数据进行收集。内存 地分析网络和主机的重要数据，在被犯罪嫌疑人或 的易失性数据是稍纵即逝的，为了确保证据的完整 者其他人为和自然因素干扰前形成证据，保持了证 性，就必须尽可能完整地对目标数据进行收集。 据的完整性和可采信度。 其中，为了确保电子证据的真实性，对取证工具 动态取证可分为基于网络取证和基于主机取 本身也有严格的规定。取证工具本身不能给取证人 证。基于网络的取证主要结合入侵检测技术、蜜罐 员提供任何形式除取证活动外的操作，防止取到的 技术、代理技术等，对网络状态、网络信息进行获取 证据在取证和分析的过程中被取证人员误操作发生 和分析。如对网络端口开放的情况分析，对网络传 篡改。 送的数据包进行截获和分析，对网络中其他设备的 国内外仅提出了动态取证工具的框架和开发模 信息进行调查取证。基于主机的取证主要是对系统 型，但是并没有完善的动态取证工具来进行相关的 中易失数据的获取，包括寄存器中的信息、缓冲区中 取证工作。在现实工作中，有些侦查员不具备足够 的信息、内存信息、正在运行的进程信息等，这些证 知识来处理、分析操作系统中的动态数据，且这