计算机取证中系统分析技术研究.pdfVIP

2011．O3 计算机取证中 系统分析 (江苏警官学院，江苏南京 210012) 摘 要 ：在打击涉计算机犯罪案件过程 中，经常需要对计算机系统进行分析，本文探讨系统分析的静态 分析技术、动态分析技术和网络监控技术，并结合介绍有关的分析工具。 关键词 ：风险社会；反计算机犯罪；系统分析 ；计算机取证 中图分类号：TP393．08 文献标识码：A 文章编号：1671—1122(2011)03—0039—04 A TechnicalStudyofAnalyzingComputerSystem forComputer Forensics HUANG BU—gen (DepartmentofForensicScienceandTechnology,JiangsuPoliceInstitute,NanjingJiangsu210012，China) Abstract：Peopleoftenneedtoanalyzecomputersystem whencombatingcomputerrelatedcrime．Inthis paper,thestaticanalysistechnologyanddynamicanalysistechnologyandcybemonitoringtechnologyare discussed，andalsointroducesometoolsforsystem analysis． Keywords：risksociety；againstcomputercrime；system analysis；computerforensics 0引言 现实社会中，利用最新科学技术成果进行犯罪活动越来越显突出，除了刑法应对外 ，对付技术犯罪也必须依靠技术，涉 及计算机的犯罪活动在技术犯罪中占重要位置，打击涉及计算机的犯罪活动，常常需要进行系统分析。计算机系统中有什么样 的证据，并非都是直接看出来的，需要通过专门技术或]_具进行分析。对于黑客程序、逻辑炸弹等程序，需要进行代码分析，确 认其功能。如果能够获取源代码，则可以直接阅读，分析其功能，如果只有 目标代码，则需要进行反汇编或反编译获取源代码， 再进行代码分析，或者进行行为分析。 1静态分析 静态分析主要用于确定文件类型、查看字符串、分析程序代码等检验工作，对注册表文件的分析、上网历史记录的分析等 也属于静态分析的范畴。 1．1文件类型的确定 2009年6月，某地公安机关破获一起案件，在对案件中涉及的财务数据检查时发现大量历史数据记录被删除。在案件鉴定 过程中，根据文件特征搜索，发现一个扩展名为 “wav”的文件实际是 “dbf”数据库文件，使用VFP系统打开文件后，被删除的 记录被全部显示出来，案值 108．2万元，不显示删除标记的记录只有2．5万元。这是根据 “dbf”文件特征发现伪装了的 “dbf”， 进而根据 “dbf”文件的伪删除功能恢复数据。 文件的扩展名表明文件的类型，操作系统根据默认的调用关系选择应用程序。但出于各种原因，包括反侦察在内，一些文件 的扩展名可能被故意改成其它类型，比如将 “．rar”(压缩文件)改成 “．sys”(系统文件)。对此，可以通过专门软件从文件内容检 查文件类型，也可以通过WinHex、UhraEdit(如图1)等软件直接查看文件代码。因为许多应用系统的文件是结构化的，在文件 头部包括特征串，可以用于确定文件类型。 ● 收稿 时间：2010—12—24 基金项 目：江苏高校哲学社会科学研究重点项目 “风险社会中的刑事犯罪、侦查权和公民权利研究”(2010ZDIXM007)阶段性成果 作者简介：黄步根 (1958一)，男，江苏，教授 ，硕士，主要研究方向：信息安全。 20l1-03 密执行，或检查系统中的进程看是否处