Linux系统取证实践研究.pdfVIP

信息网络安全 2010.11 专 题 研 究 合作 厦门美亚柏科 ： doi 10.3969/j.issn.1671-1122.2010.11.012 Linux系统取证实践研究 杨璞 （厦门市美亚柏科信息股份有限公司，福建厦门 361008） IDC 服务器调查取证过程中经常会涉及到 Linux 操作系统，调查人员较为关注 Linux 操作系统 摘　要 ： 的查看、密码绕过、逻辑卷内容的查看、Linux 分区只读设置、Linux 下 Web 服务器的调查和数据库调查等内 容。本文在研究 Linux 常用取证技术的基础上，介绍了 Linux 系统取证的实践操作步骤，为取证调查一线的工 作与研究人员提供参考。 Grub ；Ext3 ；Apache ；EnCase ；虚拟主机 ；取证 关键词 ： 中图分类号 ：TP393.08 文献标识码 ：A The Practice and Research of Linux System Forensic Yang Pu ( Xiamen Meiya Pico Informaion Co.,Ltd., Xiamen, Fujian 361008, China ) Abstract: The forensic of the IDC server is often involved with the Linux operating system, and investigators have to deal with the viewing of the Linux system and logical volume, password bypass,readonly viewing of the Linux partition, web server and database forensic of the Linux system. This paper give us the operation steps based on the research of the Linux forensics, and is practise valuable. Key words: Grub; Ext3; Apache; EnCase; Virtual host; Forensic 0 引言 随着开源软件的发展，Linux 操作系统及其应用软件不断应于互联网服务器、大中型企业、高校及个人用户。Linux 系统的发 行版本也多种多样，如红帽 Redhat/CentOS、SUSE、Ubuntu、Slackware、红旗等。Linux 操作系统将会得到普遍的应用，而调查 人员则会面临基于 Linux 操作系统的取证调查问题。目前，基于 Linux 操作系统的取证调查方向有：1）Linux 分区与逻辑卷的取 证调查 ；2）Linux 登录密码绕过与破解 ；3）Linux下Web 服务器的取证调查 ；4）Linux下数据库取证调查 ；本文针对如上方向，结 合实际操作给出具体方法，希望借此能给取证调查一线的工作与研究人员带来启发与借鉴作用，以达到抛砖引玉的效果。 1 Windows 下 Linux 分区的查看 由于常见 Linux 分区是 Ext2/Ext3/Ext4 格式的，不支持 Windows 系统。通过 Windows 挂载 Linux 分区或硬盘是不能直接查看 的，往往在进入挂载的分区后提示 “磁盘未格式化”。但可以通过 EnCase 加载 Linux