计算机痕迹检测原理及系统设计

《计算机痕迹检测原理及系统设计》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、计算机痕迹检测原理及系统设计李涛1，陈鹏2，张凯泽31．解放军理工大学通信工程学院研究生1队南京2100072．解放军理工大学通信工程学院研究生2队南京2100073．解放军理工大学通信工程学院电子信息工程系南京210007摘要：A4Iq在使用计算机的时候会留下很多痕迹，痕迹检测对于计算机的安全防护和调查取证能起到重要的作用。本来介绍了在微软的Windows平台下各种痕迹的产生原理。然后提出了一个痕迹检测系统的设计方法。关键词：痕迹检测，数据恢复，日志，NTFS文件系统，XMLTheTheoryofComputerTraceDete

2、ctionandTheSystemDesignAbstract：Themwillbealotoftracewhenpeopleusethecomputer．ThecomputerRacedetectionmakessignificanteffortsforthecomputersecurityprotection，investigationandprovidence．Thispapermainlyintroducesthetheoryofdifferentkindsofcorn-puter蛔c∞appear．Moreover．itp

3、rovidesthesystemdesignaboutthetracedetection．KeyWords：Trace，Detection，DataRecovery，Log。NTP3，XML计算机已经渗透到社会的方方面面，不论是科学研究，还是行业应用，以及日常生活中，都有了日益广泛的应用。但是人们在使用计算机的时候都会留下一些蛛丝马迹，透漏出所进行的操作。鉴于目前微软的Windows系列是目前最流行的个人操作系统，本文针对Windows2000／XP／2003操作系统，研究其痕迹形成的原理和检测方法。1引言微软的Windows系列操

4、作系统界面友好，应用软件丰富，即使非专业人士也容易上手和使用。但人们在享受其易用性的同时，很容易忽略其内部实现的细节，也就带来了安全隐患。比如，人们输入过的账号密码，可能会被系统所记录，编辑过的文档也经常会有临时数据遗留在硬盘上，这些都会带来信息泄露的危险。另一方面，在计算机犯罪中，痕迹的检测则是计算机取证的一个重要技术手段，但是痕迹检测软件大多来自于国外，其质量关系到法律的公正与尊严，并不利于我们使用。2痕迹产生的原理痕迹的产生，与操作系统的设计和软件的设计密切相关。在微软的Windows平台下，痕迹通常存放或遗留于内存、注册表、

5、文件、隐藏目录或者硬盘的空白区域。根据计算机使用情况，可以将痕迹划分为操作系统痕迹、上网痕迹、常用软件痕迹、已删除文件、系统日志共五种痕迹，下面分别介绍其原理。2．1操作系统痕迹是指使用Windows操作系统时的痕迹，包括“最近访问的文档”、“运行记录”、“搜索记录”、“剪贴板”、835http://taobao43.net/list.php/0-0-1-1000000-%25B9%25FA%25B2%25FA%25CA%25D6%25BB%25FA.html“系统临时文件”以及“用户f

6、缶时文件”等。我们打开过的Word文件、pd

7、f文件、图片、网页等文档会在“最近访问的文档”中留下快捷方式，其实际位置为用户目录下的Recent目录，CSIDL值为CSIDL_RECENT。在开始菜单的“运行”栏里输入过的程序或文档都会被记录到注册表的HKEY_CURRENT__USER、Software＼Microsoft＼Windows＼CurrentVersion、Explor-er＼RunMRU项中。在搜索时，搜索的内容会被记录到注册表的HKEY—CURRENT—USER＼Software＼Mi．crosoft＼SearchAssistant＼ACMm＼5603中。复制

8、或粘贴数据时，这些数据会暂时遗留在内存中。大部分程序运行时都会产生临时文件，这些被放在系统和用户的临时目录中。2．2上网痕迹上网痕迹包括“地址栏列表”、“历史记录”、“Cookies”、“临时文件”、“index．dat文件”和“网络账号和口令”。在浏览器的地址栏中输入一个网址来浏览网页时，此网址被记录到注册表的HKEY—CURRENT—USER＼Software＼Microsoft＼InteractExplorer＼TypedURLs项中，网页打开后网址会被记录到“历史记录”中，其位置为用户目录下的History目录，CSIDL值

9、为CSIDL—HISTORY，此目录下是一系列的index．dat文件。许多时候服务器还会写入一个Cookies文件到Cookies目录中，而网页中包含的图片、动画或者一些脚本等内容会以文件的形式分别保存在网页临时目录中，同时，这些文