计算机取证中关键技术研究-计算机应用技术专业论文.docxVIP

A Dissertation Submitted to Shanghai Jiao Tong University for the Master Degree of Engineering RESEARCH ON KEY TECHNOLOGY OF COMPUTER FORENSICS Author：LI Yan Specialty: Computer Application Technology Advisor: Prof. QIU Weidong School of Information Security Engineering Shanghai Jiao Tong University Shanghai, P.R.China December , 2009 第 第 I 页 计算机取证中关键技术研究 摘 要 近年来，计算机犯罪带来的问题日益严重。自“熊猫烧香”案发 以来，社会对于计算机犯罪的关注度越来越高。与此同时，计算机取 证技术作为打击计算机犯罪的重要手段也逐渐成为业内研究的热点。 其中中国计算机法证技术研究会的 CCFC 计算机取证技术峰会和高峰 论坛自 2005 年来举办了三次大型活动，成为业内技术人员交流的重 要途径。 本文从实际计算机取证的需求出发，研究计算机取证中的如下几 项关键技术。 第一，数据恢复技术。数据恢复技术是计算机取证中使用频率最 高的技术之一。本文从 FAT32 和 NTFS 系统的结构出发，分析了在上 述两种文件系统下文件删除以及磁盘格式化操作的原理，提出了文件 数据恢复和格式化恢复的通用方法和流程。 第二，磁盘全文搜索技术。在现有工具不能很好满足计算机取证 需求的背景下，本文提出了一种通过磁盘全文搜索来进行取证的方 法。同时，对该取证方法底层所采用的模式匹配算法进行了对比实验 分析并加以改进，找出高效取证的最佳环境。此方法与数据恢复相结 合，可以实现按文件类型、文件名或者文件关键字等进行取证，有效 提高了取证的效率。 第三，典型文件类型格式分析。针对计算机取证中经常遇到的文 件格式，如邮件（EML、DBX、PST、BOX 等）、打印假脱机文件（SPL 和 SHD）等，本文进行了文件格式分析以及研究了提取其中数据元素 的方法；针对接入系统的 USB 设备，给出具体的痕迹取证过程。 第四，计算机取证模型研究以及取证可信度的证明。本文针对以 第 第 II 页 往的一些经典计算机取证模型加以分析，提出了一种基于瀑布流模型 的计算机取证过程模型；针对计算机取证流程抽象网络的研究，提出 了对取证结果进行可信度划分的方法，并给出了概率论上的证明。 关键词：计算机取证，数据恢复，模式匹配，文件格式分析，取证模 型 上海交通大学工学硕士学位论文AB 上海交通大学工学硕士学位论文 ABSTRACT 第 第 PAGE IV 页 Research On Key Technology of Computer Forensics ABSTRACT In recent years, the problems that brought by computer-related crime became mor.e and more serious Since the breaking out of “Xiongmao Shaoxiang” virus, the society was paying increasing attention to computer-related crime. Meanwhile, the computer forensic technology , which is a key method of crime-fighting, also gradually becomes a research focus in this industry. In China, the China Computer Forensics Conference(CCFC), organized by China Computer Forensics Research Center, has held large-scale activities for three times, which contributed a lot to the academic exchanges of technicians in this industry. In this paper, we embarks from the needs of actual computer forensic cases, and studies some key technology in computer