以太网网络接口卡MAC永久地址与MAC当前地址的检验方法综述.pdfVIP

·综 述· 型蔓堇垄!Q!!生笠§塑 检验方法综述 徐 炼，张国臣 (1．浙江省杭州市公安局刑科所，310004；2．公安部物证鉴定中心，北京100038) 摘要：本文综述了检验以太网网络接口卡MAC永久地址和MAC当前地址的方法，针对不同的检验客体提出 了可行的检验方法。并提出了MAC在先检验的发展方向。 关键词：MAC永久地址检验；MAC当前地址检验；电子证据 中图分类号：DF793．2文献标识码：A 文章编号：1008—3650(2012)05一0038一03 Examinationof MACaddressandcurrmtMACaddressofethemetNIC pemlanent XU Lian，ZHANG Guo—chen(H口九gz^o“Fo旭nsifSc妇咒cP，杵s￡矗“抛，H口扎92危o“310004，c^i船) ABSTl王ACT：This revie、vedexaminationmethodsofMAC theMAC andcurrent paper address Address，includingpenTlanent introducedfeasibletoconducteXaminationonvariousofEthernet author thatthernoreat— address，and ways NIC．Thc suggested tenti。nshouldbe on of onlineexaminationmeth。dsof^瞳ACAdd!琶ssatcrimescene， paydevelop“lent KEYWOl【DS：MAC current evidence pennanentaddress；MACaddress；digital 近年来随着国内电子商务应用的发展，网络诈骗 卡驱动程序所获得的工作MAC地址值。在实际中， 案件日趋高发。这类案件中以太网网络接口卡(NET多数操作系统启动时，网卡驱动会读取一次真实的 INTERFACE CARD，以下简称“网卡”j的MAC永 MAC物理地址，此后如果没有别的事件介入，就将此 久地址(PERMANENT—ADDRESS)以及其在系统 值赋给网卡MAC当前地址值，并存于网卡的高速缓 运行中衍生出的MAC当前地址(CURRENT—AD— 存中供使用。 DRESS)是认定罪犯的关键证据，而目前国内尚没有 1．2 MAC地址区分客户端的原理 形成针对此两者检验的标准方法。本文对本检验机 由上述可见，正常情况下，网卡的MAC当前地 构已处理的此类检材的实际检验流程做了梳理，针对 两种实际检验需求(检验MAC永久地址和检验物理地址被写在网卡的各种类型的ROM芯片中，其 MAC当前地址)，整理出了各自可行的检验方法，介存在形式一般属于固件，不易被改变。所以互联网中 绍如下。 的服务器常利用客户端程序将客户端的MAC当前 1 MAC地址相关概念及MAC地址修改 地址值(也有极少客户端程序读取的是MAC物理地 1．1 什么是MAC地址与NDIS规范中的MAC地址 MAC(mediaaccess contr01)地址一般指OSI七