原创力文档- 1、本文档共33页，可阅读全部内容。
- 2、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。
- 3、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 5、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 6、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 7、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 8、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
查看更多
PAGE
大作业的要求和内容：（包括题目选择范围、技术要求、递交时间、考核方法等）
题目：设计稿泄密案取证分析
案件背景：
某公司报警称其公司的灵猴设计稿失窃，丢失一名为“EgisTec_ES603”的U盘,怀疑张三有泄漏公司机密的重大嫌疑，随即对他个人的一台笔记本硬盘进行了证据固定，并通过EnCaseV6生成了Monkey.E01镜像文件。
技术要求:
1、通过技术分析，找出此人涉嫌泄露公司机密信息的痕迹；
2、分析出该对象使用的通讯工具；
递交时间：
项目完成时间：2015.5.14——2015.6.24
考核方法：
1.独立完成，如出现抄袭以零分计。
2.实验结果以报告形式提交，并且正确完成每项技术要求计25分，满分100分。
一、第一阶段：分析人物关系
1.使用取证大师新建案例“设计稿泄密案”，加载磁盘镜像Monkey.E01
2.在USB使用痕迹中发现了失窃U盘的使用记录，遂判断张三有重大嫌疑
3.接着查看电脑的即时聊天使用记录，发现了zhangsan1681用户使用skype的痕迹
查看zhangsan1681的联系人，发现有两人，分别为echo121和lisi16789（显示名为李四）
5.只发现与李四有聊天记录
6.查看详细聊天记录
从即使聊天中可以得到以下信息：
（1）zhangsan1681为张三,lisi6789为李四
（2）2012年5月8日之前，张三通过邮件发给了李四一个“资料”，并且是有“酬金”的交易
（3）张三有更新的“资料”，需要一定的“方式”才能查看
（4）两人通过支付宝或银行卡交易
7.因聊天记录提及到了邮件，于是去查看邮件记录
整理得到如下对话
通过邮件可以得到以下信息：
（1）张三在5月8日通过邮件发送给了李四若干个加密的分卷压缩包，密码“照旧”
（2）从17点53分的李四发给张三的邮件主题“Re：Design资料3”来看，17点49分到53分之间，至少有一封张三发给李四的叫主题为“Design资料3”的邮件被删除了
（3）张三启用了一个新的手机号码，尾数为86
（4）李四针对“design”资料通过工行和支付宝向张三付了钱，即针对design进行了交易
9.在硬盘中，以工行卡号特征设置搜索条件搜索工行卡号
（正则：[^0-9]((6222|5309|5558)###############|(6222|5309|5558) #### #### #### ###)[^0-9]）
未搜索到任何结果
8.在硬盘中，以手机号码特征设置搜索条件搜索以86结尾的张三的手机号
成功命中号隐藏在funny01.jpg的文件残留区内
10.在硬盘中，以邮箱地址的特征设置搜索条件进行搜索
搜索到643个结果
仔细查看搜索到的条目时，发现以下两处关键的内容：
（1）在“许慧欣孤单芭蕾.mp3”的文件残留区里，意外发现张三的alipay账号信息
（2）发现4封处在未分配簇和浪费的扇区中的被删除的邮件，偏移量分别, 5440519 ,导出，整理内容如下
其中主题为“图片资料”和“样板图”的邮件中，丢失的设计图作为附件出现了
（3）出现第三人：小王。小王是李四的助手，在5月3日李四出差时代替李四与张三接洽。邮箱110119120@。
二、第一阶段梳理
暂无新线索，梳理一下迄今为止获得的信息：
1.即时聊天信息
（1）2012年5月8日之前，张三通过邮件发给了李四一个“资料”，并且是有“酬金”的交易（暂未找到）
（3）张三有更新的“资料”，需要一定的“方式”才能查看(加密压缩包)
（4）两人通过支付宝或银行卡交易（支付宝账号zhs518@126.com，银行卡号暂未发现）
2.邮件交流信息
（1）张三在5月8日通过邮件发送给了李四若干个加密的分卷压缩包(disigin.part1.rar、disigin.part1.rar、…？)，密码“照旧” (加密压缩包，密码暂未找到)
（2）从17点53分的李四发给张三的邮件主题“Re：Design资料3”来看，17点49分到53分之间，至少有一封张三发给李四的叫主题为“Design资料3”的邮件被删除了（暂未找到邮件“Design资料3”）
（3）张三启用了一个新的手机号码，尾数为86
（4）在“许慧欣孤单芭蕾.mp3”的文件残留区里，意外发现张三的alipay账号信息（zhs518@126.com）
（5）发现4封处在未分配簇和浪费的扇区中的被删除的邮件，偏移量分别, 5440519 ,其中主题为“图片资料”和“样板图”的邮件中，丢失的设计图作为附件出现了，确认两人交易物品为失窃的设
文档评论（0）