灵猴泄密案取证分析

《灵猴泄密案取证分析》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、大作业的要求和内容：（包括题目选择范围、技术要求、递交时间、考核方法等）题目：设计稿泄密案取证分析案件背景：某公司报警称其公司的灵猴设计稿失窃，丢失一名为“EgisTec_ES603”的U盘,怀疑张三有泄漏公司机密的重大嫌疑，随即对他个人的一台笔记本硬盘进行了证据固定，并通过EnCaseV6生成了Monkey.E01镜像文件。技术要求:1、通过技术分析，找出此人涉嫌泄露公司机密信息的痕迹；2、分析出该对象使用的通讯工具；递交时间：项目完成时间：2015.5.14——2015.6.24考核方法：1.独立完成，如出现抄袭以零分计。2.实验

2、结果以报告形式提交，并且正确完成每项技术要求计25分，满分100分。一、第一阶段：分析人物关系1.使用取证大师新建案例“设计稿泄密案”，加载磁盘镜像Monkey.E012.在USB使用痕迹中发现了失窃U盘的使用记录，遂判断张三有重大嫌疑3.接着查看电脑的即时聊天使用记录，发现了zhangsan1681用户使用skype的痕迹查看zhangsan1681的联系人，发现有两人，分别为echo121和lisi16789（显示名为李四）5.只发现与李四有聊天记录6.查看详细聊天记录从即使聊天中可以得到以下信息：（1）zhangsan1681为

3、张三,lisi6789为李四（2）2012年5月8日之前，张三通过邮件发给了李四一个“资料”，并且是有“酬金”的交易（3）张三有更新的“资料”，需要一定的“方式”才能查看（4）两人通过支付宝或银行卡交易7.因聊天记录提及到了邮件，于是去查看邮件记录整理得到如下对话通过邮件可以得到以下信息：（1）张三在5月8日通过邮件发送给了李四若干个加密的分卷压缩包，密码“照旧”（2）从17点53分的李四发给张三的邮件主题“Re：Design资料3”来看，17点49分到53分之间，至少有一封张三发给李四的叫主题为“Design资料3”的邮件被删除了（

4、3）张三启用了一个新的手机号码，尾数为86（4）李四针对“design”资料通过工行和支付宝向张三付了钱，即针对design进行了交易9.在硬盘中，以工行卡号特征设置搜索条件搜索工行卡号（正则：[^0-9]((6222

5、5309

6、5558)###############

7、(6222

8、5309

9、5558)###############)[^0-9]）未搜索到任何结果8.在硬盘中，以手机号码特征设置搜索条件搜索以86结尾的张三的手机号成功命中号码13500000286，隐藏在funny01.jpg的文件残留区内10.在硬盘中，以邮箱地址的

10、特征设置搜索条件进行搜索搜索到643个结果仔细查看搜索到的条目时，发现以下两处关键的内容：（1）在“许慧欣孤单芭蕾.mp3”的文件残留区里，意外发现张三的alipay账号信息（2）发现4封处在未分配簇和浪费的扇区中的被删除的邮件，偏移量分别为52601917,5440519,51135495和69631495导出，整理内容如下其中主题为“图片资料”和“样板图”的邮件中，丢失的设计图作为附件出现了（3）出现第三人：小王。小王是李四的助手，在5月3日李四出差时代替李四与张三接洽。邮箱110119120@qq.com。二、第一阶段梳理暂无新

11、线索，梳理一下迄今为止获得的信息：1.即时聊天信息（1）2012年5月8日之前，张三通过邮件发给了李四一个“资料”，并且是有“酬金”的交易（暂未找到）（3）张三有更新的“资料”，需要一定的“方式”才能查看(加密压缩包)（4）两人通过支付宝或银行卡交易（支付宝账号zhs518@126.com，银行卡号暂未发现）2.邮件交流信息（1）张三在5月8日通过邮件发送给了李四若干个加密的分卷压缩包(disigin.part1.rar、disigin.part1.rar、…？)，密码“照旧”(加密压缩包，密码暂未找到)（2）从17点53分的李四发给

12、张三的邮件主题“Re：Design资料3”来看，17点49分到53分之间，至少有一封张三发给李四的叫主题为“Design资料3”的邮件被删除了（暂未找到邮件“Design资料3”）（3）张三启用了一个新的手机号码，尾数为86（13500000086）（4）在“许慧欣孤单芭蕾.mp3”的文件残留区里，意外发现张三的alipay账号信息（zhs518@126.com）（5）发现4封处在未分配簇和浪费的扇区中的被删除的邮件，偏移量分别为52601917,5440519,51135495和69631495其中主题为“图片资料”和“样板图”的邮

13、件中，丢失的设计图作为附件出现了，确认两人交易物品为失窃的设计图（monkey7.jpg和monkey8.jpg）（6）出现第三人：小王。小王是李四的助手，在5月3日李四出差时代替李四与张三接洽。邮箱110119120@