Linux环境下进行电子数据取证分析.pdfVIP

第二十一次全国计算机安全学术交流套论文 Linux环境下进行电子数据取证分析 胡 欣 罗文华 辽宁省公安厅网警总队 中国刑事警察学院计算机犯罪侦查系 摘要： Windows系列操作系统下能够用于电子证据收集分析的系统工具与应用软件较多． 而Linux下可以使用的方法与手段却并不为人所熟知。本文利用Liin．ix文件系统特 有的磁盘布局方式，结合其广泛使用的i节点数据结构，通过实例说明Linux环境 下电子数据取证分析的方法，同时对电子证据收集的基本步骤与注意事项予以探 讨。本文所描述的方法基于Linux操作系统基本原理，能够适用于绝大多数Linux 版本，同时具有较强的可操作性，所收集结果直观明了。 关键词： TCTils dcat 磁盘布局i节点dumpe2fs 组的描述，这两种结构在每个块组中均有备份，可见 一、引言 其对于确定硬盘布局方式，进而收集电子证据至关重 要。因此，对安装有Linux操作系统的磁盘介质进行 所谓电子证据，是指以数字的形式保存在计算 检验时，有必要首先获得超级块与块组描述表中的信 机存储器或外部存储介质中、能够证明案件真实情 息。将证据磁盘介质的副本一目标磁盘介质挂载到 况的数据或信息。作为一种新的诉讼证据，电子证据 本地磁盘的指定目录文件下之后，即可使用 的收集与获取过程必须保证合法、确实、充分，只有 dumpe2fs命令显示目标磁盘介质的超级块与块组描 这样才能准确的认定案件事实，才能正确的使用法 述表信息(如图1所示)。 律追究犯罪嫌疑人的法律责任。所以，电子证据的收 dumpe2fs命令用于显示文件系统信息，其显示 集与获取工作是计算机案件侦破过程中一个十分重 要的环节。电子证据收集通常包括寻找文件系统中 的所有相关数据，利用磁盘分析技术进行数据恢复， 检查磁盘文件被增、删、改的痕迹等工作。在Windows 系列操作系统中能够用于电子证据收集的系统工具 与应用软件很多，而Linux环境下能够使用的方法与 手段却并不为人所熟知。据此，本文介绍一种综合利 用i节点数据结构与磁盘布局方式进行电子数据收 集分析的方法，该方法适用于绝大多数LiilUX版本， 并且具有较强的可操作性，所收集结果直观明了。 二、Linux环境下电子数据取证分析 Linux文件系统中，超级块包含有描述整个分区 图1 使用dumpers命令显示超级块与块组描述 的全部信息，块组描述表则实现了对分区中所有块 表信息 大会论文 ·287· 内容来至于超级块与块组描述表，使用时参数部分 时，Linux将引用计数减一。即使引用计数被置为0， 需指定挂载目标磁盘介质的目录文件，在本例中为／ 其i节点所指向的物理磁盘上的数据也并没有被真 dev／hda6。由图示可以看出，该命令提供了数据块大正删除。因此，使用这三项信息便能够重构文件，达到 小(Blocksize)、分区中数据块个数(Blockcount)、分恢复被删除文件的目的。 区中索引节点个数(Inodeeonnt)，每个块组数据块个 下文列举实例中所使用的命令是通过TCT(The Coroners 数(Blockspergroup)、每个块组索引节点个数(In- odes