硬盘中隐藏信息的发现及提取研究.pdfVIP

硬盘中隐藏信息的发现及提取研究 硬盘中隐藏信息的发现及提取研究 □徐志强　张雪峰 厦门市美亚柏科信息股份有限公司 摘　要：硬盘是计算机取证过程中常见的介质，磁盘中可能存在一些特定的区域，所存储的大量文 件中也可能隐藏特定的信息，然而却无法被常规的数据恢复软件、取证分析软件所发现及提取，因此可 能会造成一些隐藏数据无法被检测及发现。本文将重点阐述常见的各种信息隐藏的手段，并介绍在计 算机取证过程中如何采取有效的方法或工具去发现隐藏的数据。 关键词：ＨＰＡ；ＤＣＯ；信息隐写；文件残留区；信息隐藏 　　 也没有相应的工具，那么这些隐藏信息将与取证人 员擦肩而过，工作可能无法取得进展。本文针对取 １ 证过程中常见的方法进行整理和归类，常见的信息 隐藏方法基本可以分为三大类别，分别是基于磁盘 随着计算机应用水平的普遍提高，信息安全防 结构的信息隐藏、基于文件系统的信息隐藏和基于 护意识的增强，越来越多计算机用户掌握了相关的 文件结构的信息隐藏。 技术方法或工具，对信息进行隐藏或进行各种方式 ２．１基于磁盘结构的信息隐藏 的保护。取证与反取证往往是对立的，然而了解反取 证技术，熟悉各种反取证工具及方法对于电子数据 或许较多电子数据取证人员清楚硬盘的物理结构 取证的调查人员是十分重要的。信息隐藏技术已成 和逻辑结构，然而不一定知道磁盘还可以支持特殊的 为电子数据取证面临的巨大挑战，越是有意隐藏的 磁盘参数定义，通过磁盘参数可定义隐藏区，该区域是 数据，对于取证工作往往越重要，往往成为了突破 无法使用常规的软件发现的，通常需要借助专门的工 口。本文将阐述在电子数据取证工作中经常遇到的 具来检测或解除。 各种信息隐藏的技术手段，并介绍发现有效检测到 ２．１．１ＨＰＡ（ＨｏｓｔＰｒｏｔｅｃｔｅｄＡｒｅａ） 隐藏信息并提取相应的数据。 ２００１年，根据 ＡＴＡ－４规范，硬盘开始引入 ＨＰＡ 特性，可以通过向硬盘发送ＡＴＡ指令 ＳＥＴ＿ＭＡＸ＿ＡＤ ２ ＤＲＥＳＳ设置硬盘可识别的最大可寻址范围，在成功设 置ＨＰＡ后，在计算机的ＣＭＯＳ或操作系统中，识别到 在计算机取证过程中，会遇到各种各样的隐藏 的硬盘容量将不包含超出最大可寻址范围的那些扇区 信息。如果没有掌握相应的信息隐藏发现的方法， 的数据。ＨＰＡ特性主要的目的是通过设置 ＨＰＡ隐藏 ２０１１年１０月 保密科学技术 ２４　　７ 第二十一届全国信息保密学术会议（ＩＳ２０１１）论文集 区来存储诊断工具及引导记录，因此在主分区无法启 图１为设置硬盘可寻址扇区最大容量为 １５０ＧＢ， 动的情况就非常有用，通过快捷键可调用ＨＰＡ隐藏区 硬盘中剩余的１０ＧＢ就成为了ＨＰＡ隐藏区。ＩＤＥＮＴＩ 的诊断工具或引导程序来进行操作系统的维护或硬件 ＦＹ＿ＤＥＶＩＣＥ指令可识别磁盘可用扇区总数，ＲＥＡＤ＿Ｎ ［１］ 检测 。这种特性可能被用于隐藏特定的用户数据， ＡＴＩＶＥ＿ＭＡＸ＿ＡＤＤＲＥＳＳ可识别为设置ＨＰＡ前磁盘原 躲避取证调查。通常ＨＰＡ区是在磁盘的尾部，不能在