文档取证证明力分析.pdfVIP

2010．03 纛doi：10．3969d．issn．1671-1122．2010．03．014 1计算机取证与反取证 2．1．1Word文档结构 Word文档结构分为头结构、 1．1计算机证据与取证 体结构和尾结构。 计算机犯罪还是一个新型的事 1)Word文档头结构 (header) 物，关于计算机证据和取证的概念 是从文件 0地址开始的512个字节 学术界有不同的界定 。笔者认为： 的数据结构。头结构是Word文档 计算机证据 (ComputerEvidence)就 黄明，王斌君 结构的核心和总索引。头结构中规 是由电子计算机及其相关设备形成 (中国人民公安大学信息安全工程系，北京 102600) 定了数据块、短数据块的大小、主 的，用于证明案件真实情况的数字 数据块配置表 (MSAT)和数据块 化信息。计算机证据在案件侦查过 配置表 (SAT)的大小和位置等关 程中具有获取案件线索、查证犯罪 ．}啊豁气．．应一一 审。 键信息。 嫌疑人、获取案件相关证据的作用， 2)Word文档的体结构和尾 并且具有记录方式特殊性、与载体 结构，Word文档体结构主要 由数 的可分离性、系统依赖性、隐蔽性、 据流、表流、文本流、概要信息流 脆弱性和数据可挽救性等特性，是 和对象流组成，有时也包括专门的 一 种重要的新形式证据形式 [11。 Word概要信息流。而Word文档的 计 算 机 取 证 (Computer 尾结构主要存储体结构中各个流的人口 Forensic)是指利用计算机软硬件技术， 会随着技术的不断发展而继续下去，这 数据。根据Word头结构的第 48偏移 使用科学原则及方法在犯罪侦查过程 也要求取证人员必须紧跟新技术的发展。 位置，可以读取到根 目录人口地址，从 中，按照符合法律规范的方式和预定的 2Word取证与反取证 根 目录地址开始，依次以128个字节存 步骤检查计算机系统和相关外部设备，