计算机取证实验报告

1、计算机取证明验报告计算机取证明验报告7/7计算机取证明验报告计算机取证技术实验报告实验一实验题目：用应急工具箱收集易失性数据实验目的：（1）会创办应急工具箱，并生成工具箱校验和。（2）能对突发事件进行初步检查，做出合适的响应。（3）能在最低限度地改变系统状态的情况下收集易失性数据。实验要求：（1）WindowsXP或Windows2000Professional操作系统。2）网络运行优异。3）一张可用U盘（或其他搬动介质）和PsTools工具包。实验主要步骤：（1）将常用的响应工具存入U盘，创办应急工具盘。应急工具盘中的常用工具有;等。2）用命令md5sum(可用取代)创办工具盘上全部命令的校

2、验和，生成文本文件保存到工具盘中，并将工具盘写保护。（3）用time和date命令记录现场计算机的系统时间和日期，第（4）、（5）、（6）、（7）和（8）步完成此后再运行一遍time和date命令。4）用dir命令列出现场计算机系统上全部文件的目录清单，记录文件的大小、接见时间、更正时间和创办时间。（5）用ipconfig命令获取现场计算机的IP地址、子网掩码、默认网关，用ipconfig/all命令获取更多适用的信息：如主机名、DNS服务器、节点种类、网络适配器的物理地址等。6）用netstat显示现场计算机的网络连接、路由表和网络接口信息，检查哪些端口是打开的，以及与这些监听端口的全部连接

3、。7）用PsTools工具包中的PsLoggedOn命令查察当前哪些用户与系统保持着连接状态。8）用PsTools工具包中的PsList命令记录当前全部正在运行的进度和当前的连接。实验结果：心得领悟：计算机取证工具箱简单方便，无需安装，应急工具箱收集易失性数据，在计算机取证过程中对案发现场计算机的取证起着要点性的作用，用它可以找出计算机当时所处的状态，从而收集凭据。对于取证人员来说，这个是特别要点的一步。实验二实验题目：用应急工具箱收集易失性数据实验目的：理解文件存放的原理，懂得数据恢复的可能性。丁解几种常用的数据恢复软件如EasyRecovery和RecoveryMyFiles使用其中一种数

4、据恢复软件、恢复已被删除的文件，恢复己被格式化磁盘上的数据。实验环境和设备：(1)WindowsXp或Winfjows2000Professional操作系统。数据恢复安装软件。两张可用的软盘（或U盘）和一个安装有Windows系统的硬盘。实验主要步骤和实验结果：实验前的准备工作在安装数据恢复软件或其他软件从前，先在计算机的逻辑盘（如D盘）中创办四个属于你自己的文件夹，如：BakFilel（存放第一张软盘上的备份文件）、LostFile1（存放恢复第一张软盘后获取的数据）BakFile2（存放第二张软盘上的备份文件）和LoFile2（存放恢复第二张软盘后获取的数据）注意：存放备份文件所在的逻辑

5、盘（如D盘）与你准备安装软件所在的逻辑盘（如C盘）不要相同，因为假好像样，安装软件时可能正好把你的备份文件给覆盖掉了。(2)EasyRecovery安装和启动这里采纳EasyRecoveryProfessional软件作为恢复工具，点击EasyRecovery图标即可顺利安装，启动EasyRecovery应用程序，主界面上列出了EasyRecovery的全部功能：“磁盘诊断”、“数据恢复”、“文件修复”和“邮件修复”等功能按钮”在取证过程中用得最多的是“数据恢复”功能。图1EasyRecovery安装和启动图2EasyRecovery的数据恢复界面使用EasyRecovery恢复已被删除的文件

6、。，将准备好的软盘（或U盘）插入计算机中，删除上面的一部分文件和文件夹若是原有磁盘中没有文件和文件夹，可以先创办几个，备份到BakFilel文件夹下，再将它删除。点击“数据恢复”，出现“高级恢复”、“删除恢复”、“格式化恢复”和“原始恢复”等按钮，选择“删除恢复”进行快速扫描，查找已删除的目录和文件，接着选纲要找寻的驱动器和文件夹(A盘或U盘图标)。出现全部被删除的文件，选纲要恢复的文件输入文件存放的路径D：LostFilel，点击“下一步”恢复完成，并生成删除恢复报告。图3EasyRecovery选择恢复删除的磁盘图4EasyRecovery扫描文件图5EasyRecovery扫描结果比较B

7、akFilel文件夹中删除过的文件与LoatFilel文件夹中恢复获取的文件，将比较结果记录下来。图6查察需要恢复的文件图6保存需要恢复的文件心得领悟:使用EasyRecovery恢复已被删除的文件特别管用，而且使用方便，经过此次实验学会了如何恢复不小心被删除的文件。也能对计算机储藏介质有了进一步的认识。实验三实验题目：解析Windows系统中隐蔽的文件和Cache信息实验目的：学会使用取证解析工具查察Windows操作系统下的一些特别文件，找出深深隐蔽的凭据。学会使用网络监控工具监察Internet缓存，进行取证解析。实验要求：WindowsXp或Windows2000Professiona

8、l操作系统WindowsFileAnalyzer和CacheMonitor安装软件一张可用的软盘（或u盘）实验主要步骤：用WindowsFileAnalyzer解析Windows系统下隐蔽的文件。用CacheMonitor监控Internet缓存。用WindowsFileAnalyzer和CacheMonitor进行取证解析。实验结果：软件界面Analyzer解析文件打开prefetch文件夹中储藏的信息，打开结果，全部是.pf文件ShortcutAnalyzer找出桌面中的快捷方式，并显示储藏在他们中的数据CacheMonitor操作心得领悟：这个实验相对而言比较简单，只要会使用Window

9、sFileAnalyzer，认识其功能和详尽的使用方法，但是对其所获取的数据进行解析，还需要进一步的加强学习。实验四实验目的：1）在综合的取证、解析环境中建立案例和保存凭据链。2）模拟算机取证的全过程，包括保护现场、获取凭据，保存凭据，解析凭据，提取凭据。实验步骤和实验结果：（1）用X-WaysForensics的WinHex版本创办一个新的案例newcase，记录与计算机有关的的计算机媒体如硬盘，内存，USB，CD-ROM和其他适用的文件信息，结合实质案例结构，设计生产一个凭据明体或凭据源，生产案例报告单。图创办镜像文件过程操作结束，将生成TXT格式操作日志，包括如磁盘参数、MD5值等信息。

10、2）用X-WaysForensics的WinHex版本对磁盘克隆，将生成的映像文件分步收集，生成RAW原始数据映像文件中的完满目录结构，删除某个文件，对该文件自动恢复，并确定文件种类，接着进行回复，生成删除回复报告。扫描完成后可以看到被删除的文件以以下图文件已被恢复。（3）用X-WaysCaptures将正在运行状态下计算机中的全部数据收集到外置USB硬盘中，如获取的内存数据被加密保护，在其中找出有价值的口令信息。4）用X-WaysCaptures获取物理内存和虚假内存中全部正在运行的进度，解析进度。（5）用X-WaysTrace对计算机中的阅读器上网记录信息，回收站的删除记录进行追踪和解析。（6）将第（2），（3），（4）和（5）步中获取的数据信息和解析