突网软件的调查取证方法研究.pdfVIP

突网软件的调查取证方法研究 中国刑事警察学院 高洪涛 摘 要：突网软件作为境外敌对势力用来对我国上网用户进行反动宣传、传播各类有害信息的主要工具，引发的安全隐 患十分突出。本文从突网的概念入手，介绍了突网软件的原理，以及针对突网软件进行调查取证的常用工具， 进而对常见突网软件的调查取证方法进行了研究，提出了调查取证的具体操作步骤，并通过实验模拟了调查取 证过程。 关键词：突网软件 加密代理 隧道 调查 取证 的搜索、校验和动态切换。 一、引言 本世纪初，国家加大了网络监察的力度，对网络系 突破网络审查或突破网络封锁，也被简称为“突 统中的关键点进行信息收集，并进行智能识别，对IP数 网”或“破网”，是指针对互联网审查或封锁的限制， 据包内容按照指定的关键字过滤，检查网络中是否有违 绕过相应的IP封锁、内容过滤、域名劫持等，实现对网 反安全策略的行为。随后，各种突破网络审查的加密代 络内容的访问，相应的软件也就被称为突网软件。突网 理技术也就应运而生了。该技术使用户与第三方能正常 软件带来的高度私密性与广泛的应用性使网络监察工作 访问审查内容的节点建立加密连接，间接访问审查内 面临严峻挑战，针对突网软件的调查取证方法进行研究 容。此类代理技术主要有： 有助于在互联网安全监察工作中解决和排除涉及突网软 （一）SSL页面代理 件的电子证据的收集、审查、质证、采信等方面的困难 能够把其他网站的内容抓过来，然后采用SSL加密 和障碍。 传递给用户。采用该技术的突网软件主要有“动态 网”、“代理看世界”等。 二、突网软件的原理 （二）加密代理技术 早期的突网工具都是普通代理工具的完善，只要找 在境外服务器和境内用户之间利用密码学方法建立 到合适的普通代理，在浏览器中设置代理服务器和端 一条安全信道，在网络上充当加密代理服务器的角色。 口，基本就可以畅通无阻。当时的工具主要擅长于代理 多数突网软件都采用这种技术，包括“花园软件”、 PolicTe echnology 43 “无界浏览”、“自由门”、“火凤凰”等。浏览器访 数据，记录、读取用户资料信息等方面的文件操作进行 问网页的请求被这些程序自动透明地处理，包括自动搜 监测。FileMon是一个出色的实时文件系统监视软件，它 寻最快最安全的代理服务器、加密网址和网页内容等。 可以将与文件相关的一切操作（如读取、修改、出错信 1.隧道技术 息等）全部记录下来，并允许用户对记录的信息进行保 使用隧道传递的数据可以是不同协议的数据帧或 存、过滤、查找等处理。 包。隧道协议将这些其他协议的数据帧或包重新封装在 3.注册表监控工具 新的包头中发送。新的包头提供了路由信息，从而使封 主要针对突网软件读写注册表、修改注册表项、对 装的负载数据能够通过互联网络传递。被封装的数据包 系统进行网络设置，及对用户的浏览器配置进行修改等 在隧道的两个端点之间通过公共互联网络进行传递，使 行为进行监测。RegSnap是一款很优秀的既可以监视注 所经过的逻辑路径成为隧道。一旦达到网络终点，数据 册表变化，又可以监视系统文件变化的工具。它可以对 将被解包并转发到最终目的地。 注册表以及系统文件做快照，并可以对两个快照作比