计算机反取证技术的分析与实现-analysis and implementation of computer forensics technology.docx

摘要摘要本文重点分析各种基于计算机反取证的Rootkit技术和信息隐藏技术，对当前的一些Rootkit技术进行原理分析与核心代码剖析，并给出有效的检测技术，使其能够再现Rootkit所做的恶意事件。从早期的以替换login、ps、ls和netstat等shell命令为主的应用级Rootkit，到内核级Rootkit（Linux下主要包括lkmrootkit和非lkmrootkit），再到当前最为流行的Bootkit技术，即BIOS下的Rootkit，其最大功能是可在系统加载前获取系统控制权。本文将对这些对抗反计算机取证的Rootkit技术进行详细分析与阐述。在信息隐藏技术中，本文重点论述了两种不同的技术，其一：基于位图文件的信息隐藏技术，即将文件以一种有序的方式进行打乱重排，然后在保持原始位图文件不失真的情况下，将文件离散或者连续的嵌入到位图文件的指定位置（即与位图文件像素点不相关的点坐标位置），即嵌入后确保图像的鲁棒性。其二：基于磁盘扇区的信息隐藏技术，即利用磁盘扇区的一些非重要区域（如文件所占簇的末扇区未使用的空间大小）实施数字信息隐藏。并实现了包括彻底擦除windows和软件运行痕迹、彻底擦出磁盘分区、文件隐藏与保护、系统安全设置四个功能模块的计算机反取证系统。本文最后详细介绍了一个反取证系统的实现，主要功能有针对磁盘文件的擦出功能、针对磁盘文件的隐藏功能和针对注册表的隐藏功能，同时，还可以对系统常用的一些安全配置进行方便的设置。关键词：计算机取证犯罪侦查取证软件AbstractABSTRACTThispaperfocusesonavarietyofcomputer-basedanti-forensicsRootkittechniquesandinformationhidingtechniques,someofthecurrentRootkitTechnologyPrincipleandtechniqueforanalysisofthecorecode,andgiveeffectivedetectiontechnologytoenableittodomaliciousthingsreproduceRootkitPieces.Fromtheearlytoreplacethelogin,ps,lsandothershellcommandsnetstat-basedapplication-levelRootkit,tothekernel-levelRootkit(Linuxunderincludelkmrootkitandnon-lkmrootkit),thentothecurrentmostpopularBootkitTechnologyOperation,thatis,undertheBIOSRootkit,itsbiggestfeatureisthepre-loadedinthesystemtoobtaincontrolofthesystem.Thiswillbethewaveofanti-Rootkittechnologyforcomputerforensicsanalysisanddescribedindetail.Intheinformationhidingtechnology,thispaperfocusesontwodifferentStyleoftechnology,oneof:informationonbitmapfilehiding,willfileinanorderlymannerdisruptre-Row,andthentomaintaintheoriginalbitmapfilewithoutdistortion,theembeddedfilesinplaceofdiscreteorcontinuousmapfilespecifiedLocation(iepixelbitmapfileisnotrelatedtopointcoordinates),thatis,toensurethattheimageafterembeddingrobustness.Second:BasedonDisksectorsofinformationhidingtechnology,namelytheuseofdisksectorsofanumberofnon-criticalareas(suchasclusterfileshareofthelastsectornotusedOfspace)toimplementthedigitalinformationhiding.Keywords:ComputerForensics;CrimeDetection;ForensicsSoftwareII目录目录摘要IABSTRACTII第一