(完整word版)中南大学计算机取证技术实验报告.doc

计算机取证技术实验报告 学院： 信息科学与工程学院 班级： 学号： 姓名： 指导老师： 张健 目录 目录 ------------------------------------------------------------------------------------------------------------------ 1 实验一 事发现场收集易失性数据 -------------------------------------------------------------------------- 2 实验二 磁盘数据映像备份 ---------------------------------------------------------------------------------- 7 实验三 恢复已被删除的数据 ------------------------------------------------------------------------------ 11 实验四 进行网络监听和通信分析 ------------------------------------------------------------------------- 16 实验五 分析 Windows 系统中隐藏的文件和 Cache 信息 --------------------------------------------- 20 实验六 数据解密 ------------------------------------------------------------------------------------------------ 26 总结 ----------------------------------------------------------------------------------------------------------------- 28 中南大学计算机取证实验报告 葛健敏 1 实验一 事发现场收集易失性数据 实验目的 1）会创建应急工具箱，并生成工具箱校验和。 2）能对突发事件进行初步调查，做出适当的响应。 3）能在最低限度地改变系统状态的情况下收集易失性数据。 实验环境和设备 （1） Windows XP 或Windows 2000 Professional 操作系统。 2）网络运行良好。 3）一张可用 U盘（或其他移动介质）和 PsTools 工具包。 实验步骤及截图 （1）将常用的响应工具存入 U盘，创建应急工具盘。 应急工具盘中的常用工具有 cmd.exe; netstat.exe ； fport.exe ； nslookup.exe 等 （2）用命令 md5sum创建工具盘上所有命令的校验和， 生成文本文件 commandsums.txt 保 存到工具盘中，并将工具盘写保护。 Windows 上面没有这个命令 （3）用 time 和 date 命令记录现场计算机的系统时间和日期，第（ 4）、（ 5）、（ 6）、 （7）和（ 8）步完成之后再运行一遍 time 和 date 命令。 中南大学计算机取证实验报告 葛健敏 2 4）用 dir 命令列出现场计算机系统上所有文件的目录清单，记录文件的大小、访问时间、修改时间和创建时间。 中南大学计算机取证实验报告 葛健敏 3 （5）用 ipconfig 命令获取现场计算机的 IP 地址、子网掩码、 默认网关， 用 ipconfig/all 命令获取更多有用的信息：如主机名、 DNS服务器、节点类型、网络适配器的物理地址等。 中南大学计算机取证实验报告 葛健敏 4 6）用 netstat 显示现场计算机的网络连接、路由表和网络接口信息，检查哪些端口是打开的，以及与这些监听端口的所有连接。 （7）用 PsTools 工具包中的 PsLoggedOn命令查看当前哪些用户与系统保持着连接状态。 中南大学计算机取证实验报告 葛健敏 5 （8）用 PsTools 工具包中的 PsList 命令记录当前所有正在运行的进程和当前的连接。 中南大学计算机取证实验报告 葛健敏 6 实验二 磁盘数据映像备份 实验目的 1）理解什么事合格的司法鉴定备份文件，了解选用备份工具的要求 2）能用司法鉴定复制工具对磁盘数据进行备份 （3）查看映像备份文件的内容，将文件进行 Hash 计算，保证文件的完整性 实验环境和设备 1） Windows XP 或 Windows 2000 Professional 操作系统 2）网络运行良好。 3）一张可用的软盘和外置 USB 硬盘 实验步骤及截图 （1）制作 MS-DOS 引导盘，给硬盘或