案件取证操作教程EnCase.pptVIP

利用EnCase调查案件的前期步骤 文件特征分析 要查看特征分析的结果，可在左边选择“Cases”标签，并全选案件所有文件，右边选择“Table”视图。将表格视图中的列按照“Name”、“File Ext”和“Signature”列依次排列显示 并按照第一级：特征；第二级：文件扩展名；第三级：文件名进行排序（用“SHIFT”+双击增加排序级别），如图 利用EnCase调查案件的前期步骤 文件特征分析 在文件特征列可以观察文件特征分析的结果，其特定表示如下： ! Bad Signature：在文件特征表中有列出该文件扩展名，但是案件中发现的文件的特征不符，且该文件特征也没有和已知的任何文件特征相匹配。这表明该文件头毁坏或者是发现了一种未知的文件格式，需要加入文件特征表。 利用EnCase调查案件的前期步骤 文件特征分析 在文件特征列可以观察文件特征分析的结果，其特定表示如下： *[Alias]：该文件的头存在于文件特征表中，但该文件的扩展名与文件特征表中对应的扩展名不符。这表明这是一个扩展名被重命名的文件。 Match：文件头与扩展名匹配。如果扩展名在文件特征表中没有头，只要该文件的头没有与文件特征表中的任何头对应，EnCase也会返回一个Match的标志。 Unknown：文件特征表中对该类文件（文件特征/扩展名）没有定义。 文件操作 计算机取证调查人员在将原始证据（计算机磁盘）镜