计算机取证硬盘拷贝系统剖析.docVIP

计算机取证硬盘拷贝系统剖析 　　摘要：本文根据目前国内硬盘拷贝系统的现状进行分析，从硬盘拷贝系统的特点，硬盘拷贝系统研究中注意的突出问题进行分析，进而给出硬盘拷贝的技术方案及技术细节。 　　关键词：取证拷贝；数据收集；硬盘拷贝；硬盘拷贝系统 　　中图分类号TP39 文献标识码A 文章编号 1674-6708（2012）66-0212-02 　　硬盘作为计算机最主要的信息存储介质，是计算机取证的重要获取内容，也是目前各种计算机取证的主要工具。随着计算机取证应用领域的不断扩大和新的研究成果的出现，市场的需求也逐渐增多。计算机取证分析成为新的研究领域，数字收集是计算机取证过程中是最基本的一个步聚，它所研究的方向有3个：制度策略的研究主要探讨收集数字证据时如何避免因为违反规定而导致证据失效[1]；硬件技术的研究包括专用设备的研发[2]、取证实验室硬件配置的探讨等；软件技术的研究包括易失性证据收集工具、离线证据收集工具的研究和实现[3]。制度策略、硬件技术和软件技术是实施数字证据收集的三要素。 　　硬盘拷贝系统是数字收集平台中软件技术的一个重要部分，硬盘拷贝系统进行的硬盘复制，与普通的文件复制不同，不但复制硬盘中被文件占用的部分，而且还复制硬盘空间中没有被文件占用的部分，这些空间中包含了实施数据恢复所需的信息。 　　硬盘拷贝系统的特点是：不改变原始磁盘；如果原始磁盘没有错误，能创建原始磁盘的字节流副本或映像文件；如果原始磁盘发生I/O错误，将遇到错误部分的内容替换为该工具的文档中所指明的数值；应当以能访问和阅读的形式记录I/O错误，包括错误的类型和位置 ；应能通过一种或多种明确定义的接口访问硬盘；文档应能正确描述实现了的功能，用户遵循文档的指导应能得到期望的结果 ；若将数据复制到大于源盘的硬盘上，则应当标明目标盘中并非源盘拷贝的部分 ；若将数据复制到小于源盘的硬盘上，则应当告知用户，截断副本，并记录相关的动作。 　　硬盘拷贝系统还包括拷贝完成后计算并比较校验和，拷贝过程中和完成之后生成记录证据收集过程的工作日志，以及在复制过程中遇到错误时的特殊处理能力。因此，在研究过程中，突出的几方面： 　　1）保证数据的完整性，数据的拷贝的完整性是最基本功能要求，其完整程度的高与低决定该系统成功与否的关键，没有完整的拷贝数据，其它方面无从谈起； 　　2）保证数据的准确性，数据在拷贝过程中，受内、外界因素的影响很大，例如磁干扰等，要使拷贝的数据与原始数据相符，进行准确性的校验是必要的； 　　3）错误处理能力，这个环节将研究，在系统运行过程中，对待不同的引起错误的原因时行分析并解决，如源硬盘与目标不同程度的物理损坏，操作系统运行时崩溃处理等； 　　4）硬件设备及文件系统的兼容性，针对不同的硬盘及其文件系统要有效的兼容，满足常见的硬件设备及文件系统的兼容性，对硬件而言，如ATA和SCSI接口的硬盘设备，文件系统如：FAT12、FAT16、FAT32、NTFS、EXT2、EXT3等； 　　5）系统运行效率，一个系统的可用性离不开其运行效率的高低。本环节研究怎样设计硬盘及系统的缓冲区域大小能更有效地提高本系统的运行效率； 　　6）系统操作的方便性，硬盘拷贝不但要提供整个硬盘的拷贝功能，而且还要根据不同的要求，进行不同分区的拷贝。 　　基于上述问题的分析，硬盘拷贝技术方案如下： 　　1）光盘启动操作系统，要使用硬盘拷贝系统，就必须有光盘启动的操作系统的支持，基于Windows PE 和 Barts PE 的中文启动光盘是支持硬盘拷贝系统的理想选择。 　　Windows PE是微软基于Windows XP制作，能在一张CDROM中独立引导的操作系统 。Barts Preinstalled Environment是 Bart Lagerweij制作的Windows PE环境创建工具，利用它可以创建包含各种驱动程序和应用程序的Windows PE环境。 　　SuperbootCD是我国计算机爱好者制作的系统管理工具光盘，其中包含了利用Barts PE工具制作的中文Windows PE环境，以及病毒查杀、数据恢复和系统破解等方面的工具软件 ，非常适合用于数字收集。去除SuperbootCD中的其他内容，仅保留 Windows PE 环境，并在其中安装硬盘拷贝系统程序后，即可成为硬盘拷贝系统环境； 　　2）错误的处理能力，如果原始磁盘发生 I/O 错误，应将遇到错误部分的内容替换为该工具的文档中所指明的数值以能访问和阅读的形式记录 I/O 错误，包括错误的类型和位置。 　　3）数据的校验,计算并比较源盘和镜像文件的散列值； 　　4）物理复制的实现 　　（1）分区选择拷贝，从物理层了解分区情况，由于分区的特点，划分物理复制范围。通