Windows操作系统环境下的在线调查.pdfVIP

·经验交流· 型事蕉术2007生釜5期 场主机中arp高速缓存的当前内容，进而确定对应IP Windows操作系统环境下 地址的网卡物理地址。需要注意的是，在许多操作系 的在线调查 户都可以更改自己的MAC或IP地址，因此案件分 罗文华(中同刑事警察学院计算机犯罪侦查系，沈阳 析时不可过分相信通过arp命令获取的信息。 ii0035) 包括本地连接以及其他网络连接的lP地址、子网掩 关键词：在线调查；易失数据；cmdFport；Pstools 码、默认网关等。在Windows 98系统中没有该命 中图分类号：DF793．1文献标识码：B 令，可以通过Winipcfg命令来查询相关信息。 文章编号：1008-3650(2007)05—0042—02 1．1．4 查和应急响应的软件包，目前已广泛应用于计算机犯 在计算机犯罪现场勘杳过程中，如发现现场中主 机处于开机状态，除极特殊情况(如系统正在删除文 件、格式化、系统自毁等)须立即拔掉电源线外，在关 闭主机前一般都要进行在线调查操作。在线调查的 主要目的是获取那些关机或审新启动系统后就立即 消失的数据，一般指系统时问／日期、当前登录用户、 当前运行进程、套接字列表及相应监听程序等信息。 正确执行在线调查操作通常需要有以下方面的 保证：可信且完善的工具、规范的操作步骤以及数据 签名。下文将从工具盘创建、具体步骤以及注意事项 中，没有必要使用全部命令，通常情况下主要使川 等方面洋细说明Windows系统环境下的在线橱查。 1 Windows操作系统环境下的在线调查 述见1．2节)。 1．1创建工具盘 1．1．5 Md5sum工具适用于Windows系统的 进行在线调查T作，勘查人员需要存现场主机中 执行相关命令，应特别注意不要更改或破坏任何可能 工具主要用于计算所获信息的校验和，在后续分析工 成为线索的数据，因此需要创建一个功能齐全的工具 作巾可通过校验和判断数据是否完整。另外，工具盘 盘。工具盘通常为软盘或光盘，其中包含以下工具。 中还可存放一文本文件，专门用于存放所有命令行工 1．1．1可靠的命令行Shell由于被勘查主机的命 具的校验和，以此作为判断命令行工具完整性的依据。 令行Shell可能被修改(通常在一个管理员账号被攻 表1列出了上文谈到的工具盘中所需的主要命 击后会出现这种情况)，勘查人员不应该相信它的输 令及其功能与获取方法。 出。因此，工具盘中必须配有可信的命令行解释程 表1工具盘中所需的主要命令、完成功能吡及获取方法 序，将正常系统目录下的cmd．exe拷贝到]_具盘中即 [具 功能 获取方法 可(后文中提到的Windows系统工具也可应用此方 Cmd 可信的命令行Shell 从正常系统获得 法获得)。 Arp 得到网卡物理地址 从正常系统获得 1．1．2用于端口查看的Fpor和netstatFport是 Ipconfig显玎}TCP／IP网络配置信息从止常系统获得 由著名系统安全公司Foundstone免费发布的命令行