计算机银取证原理.pptVIP

第二章计算机取证原理 重庆邮电学院 陈龙 课程内容 数据存储介质 数据表示 文件系统 网络体系结构 加密技术——数据完整性、私密性 反取证技术 存储介质 原理 数据多以代码（由0和1组成的二进制代码）形式储存于计算机的存储介质之中（如RAM、磁盘、光盘等）； 计算机数据的载体是电脉冲和磁性材料等，数据的存放地点相对复杂： 可能是在计算机内或外围存储设备中： 计算机的硬盘、备份介质（如磁带）、系统日志、数据文件、寄存器交换区、隐藏文件、空闲的磁盘空间、打印机缓存、网络数据区和计数器、用户进程存储区、堆栈、文件缓冲区、文件系统等 也可能在网络上的某台或数台服务器中。 数据存储 磁介质 存储介质的结构 硬盘的物理结构 柱面、磁头、扇区 软盘 光盘 U盘 主引导记录（Master Boot Record) MBR 存储系统的接口标准 硬盘接口 IDE/ATA SCSI 工具箱 系统启动 选择 主引导记录（Master Boot Record) MBR 数据表示 数据表示 计算机信息是用二进制数据流表示的； 一个“0”，“1”意味着什么呢？ 宏观的看，上下文环境 0000 0001 1111 1111; 511 Motorola 1111 1111 0000 0001; 511 Intel 编码 ‘A’ ‘3’ 文件查看与编辑 16进制 HexEditor WinHex 数据表示 有意义的数据最后组织成文件 文件系统 普通文件、临时文件、日志文件、注册表 交换文件或页面文件、浏览器的历史和收藏夹、Cookies 隐含文件、安装程序的残留物等 文件系统 文件系统 文件系统： 它是一组数据对象的集合，能从外部对其引用和操作。 操作系统通过文件系统存储文件，使用户很容易通过文件名、存储位置、日期或其他特征访问各类文件。 文件系统 WINDOWS文件系统 FAT、NTFS UNIX/LINUX文件系统 index node（inode）、目录 让一台计算机能辨别某个特定的文件系统的过程称为装载文件系统。 文件系统 文件系统只对特定大小的数据单元进行操作。 这些数据单元在UNIX系统中称作“块”，在WINDOWS系统中称作“簇” 这些数据块是操作系统实际存取数据的最小存储单元，每个文件都由若干个数据块组成 数据块越大，读出和写入硬盘的速度就越快 数据块小的文件系统总的来说浪费的空间更少，但未必有同样好的性能 文件系统 把一个分区转换成操作系统能够识别的文件系统的过程叫作格式化 格式化只不过是对文件系统中各种表进行了重新构造，因此，如果硬盘已经有数据存储在上面，格式化操作会让大部分数据还在那儿。 格式化会重新建立用于访问文件的各种表，同时会创建一个新的空索引列表，指向未分配数据块，但格式化操作不会真正动到文件系统的其他内容。 删除操作只不过把构成这些文件的数据簇放回到系统中，对通常的文件读写程序来说，这些簇不可见。这些数据簇可以从空闲块列表中得到，而从目录项(或inode项)中访问不到。 所以，在硬盘上有大量不在文件系统管辖范围内的数据。这些数据并非唾手可得，但是要得到也十分困难。 文件系统 组织 某一可能的布局 MS DOS的文件系统 文件卷(volume)信息：记录在引导记录的扇区中。包括：簇大小，根目录项数目，FAT表大小，磁盘参数（每道扇区数，磁头数），文件卷中的扇区总数，簇编号长度等 逻辑扇区号：三元组（柱面号，磁头号，扇区号）－一个文件卷中从0开始对每个扇区编号，优点：屏蔽了物理磁盘参数的不同 允许同时访问的文件卷数目上限可以由config.sys文件中的LASTDRIVE= 语句指定 簇(cluster)：由若干个扇区组成。在一个文件卷中从0开始对每个簇编号。 FAT表：两个镜像，互为备份。文件卷中的每个簇均对应一个FAT表项，文件分配采用链式分配方法。 每个FAT表项所占位数是簇编号的位数，其值是（以FAT12为例）： 0：表示该簇空闲 FF7h：物理坏扇区 FF8h~FFFh：表示该簇是文件的最后一个簇 其他值：表示该簇被文件占用，而且表项中的值是文件下一个簇的编号。 FAT表大小占文件卷容量的比例： 簇编号位数/ ( 8*512*每个簇的扇区数) 文件存储空间分配(file allocation) 预分配(preallocation)：创建时(这时已知文件长度)一次分配指定的存储空间，如文件复制时的目标文件。 动态分配(dynamic allocation)：