《计算机取证原理》PPT课件

《《计算机取证原理》PPT课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第二章计算机取证原理重庆邮电学院陈龙课程内容数据存储介质数据表示文件系统网络体系结构加密技术——数据完整性、私密性反取证技术存储介质原理数据多以代码（由0和1组成的二进制代码）形式储存于计算机的存储介质之中（如RAM、磁盘、光盘等）；计算机数据的载体是电脉冲和磁性材料等，数据的存放地点相对复杂：可能是在计算机内或外围存储设备中：计算机的硬盘、备份介质（如磁带）、系统日志、数据文件、寄存器交换区、隐藏文件、空闲的磁盘空间、打印机缓存、网络数据区和计数器、用户进程存储区、堆栈、文件缓冲区、文件系统等也可能在网络上的某台或数台服务

2、器中。数据存储磁介质存储介质的结构硬盘的物理结构柱面、磁头、扇区软盘光盘U盘主引导记录（MasterBootRecord)MBR存储系统的接口标准硬盘接口IDE/ATASCSI工具箱系统启动选择主引导记录（MasterBootRecord)MBR数据表示数据表示计算机信息是用二进制数据流表示的；一个“0”，“1”意味着什么呢？宏观的看，上下文环境0000000111111111;511Motorola1111111100000001;511Intel编码‘A’‘3’文件查看与编辑16进制HexEditorWinHex数据表示有

3、意义的数据最后组织成文件文件系统普通文件、临时文件、日志文件、注册表交换文件或页面文件、浏览器的历史和收藏夹、Cookies隐含文件、安装程序的残留物等文件系统文件系统文件系统：它是一组数据对象的集合，能从外部对其引用和操作。操作系统通过文件系统存储文件，使用户很容易通过文件名、存储位置、日期或其他特征访问各类文件。文件系统WINDOWS文件系统FAT、NTFSUNIX/LINUX文件系统indexnode（inode）、目录让一台计算机能辨别某个特定的文件系统的过程称为装载文件系统。文件系统文件系统只对特定大小的数据单元进行

4、操作。这些数据单元在UNIX系统中称作“块”，在WINDOWS系统中称作“簇”这些数据块是操作系统实际存取数据的最小存储单元，每个文件都由若干个数据块组成数据块越大，读出和写入硬盘的速度就越快数据块小的文件系统总的来说浪费的空间更少，但未必有同样好的性能文件系统把一个分区转换成操作系统能够识别的文件系统的过程叫作格式化格式化只不过是对文件系统中各种表进行了重新构造，因此，如果硬盘已经有数据存储在上面，格式化操作会让大部分数据还在那儿。格式化会重新建立用于访问文件的各种表，同时会创建一个新的空索引列表，指向未分配数据块，但格式化

5、操作不会真正动到文件系统的其他内容。删除操作只不过把构成这些文件的数据簇放回到系统中，对通常的文件读写程序来说，这些簇不可见。这些数据簇可以从空闲块列表中得到，而从目录项(或inode项)中访问不到。所以，在硬盘上有大量不在文件系统管辖范围内的数据。这些数据并非唾手可得，但是要得到也十分困难。文件系统组织某一可能的布局MSDOS的文件系统返回多级目录，不支持文件别名，无用户访问权限控制1.磁盘文件卷结构文件卷(volume)信息：记录在引导记录的扇区中。包括：簇大小，根目录项数目，FAT表大小，磁盘参数（每道扇区数，磁头数），

6、文件卷中的扇区总数，簇编号长度等逻辑扇区号：三元组（柱面号，磁头号，扇区号）－>一个文件卷中从0开始对每个扇区编号，优点：屏蔽了物理磁盘参数的不同允许同时访问的文件卷数目上限可以由config.sys文件中的LASTDRIVE=语句指定簇(cluster)：由若干个扇区组成。在一个文件卷中从0开始对每个簇编号。FAT表：两个镜像，互为备份。文件卷中的每个簇均对应一个FAT表项，文件分配采用链式分配方法。每个FAT表项所占位数是簇编号的位数，其值是（以FAT12为例）：0：表示该簇空闲FF7h：物理坏扇区FF8h~FFFh：表示

7、该簇是文件的最后一个簇其他值：表示该簇被文件占用，而且表项中的值是文件下一个簇的编号。FAT表大小占文件卷容量的比例：簇编号位数/(8*512*每个簇的扇区数)文件存储空间分配(fileallocation)预分配(preallocation)：创建时(这时已知文件长度)一次分配指定的存储空间，如文件复制时的目标文件。动态分配(dynamicallocation)：需要存储空间时才分配（创建时无法确定文件长度），如写入数据到文件。返回1.新创建文件的存储空间（文件长度）分配方法2.文件存储单位：簇（cluster）簇的大小两个

8、极端：大到能容纳整个文件，小到一个外存存储块；簇较大：提高I/O访问性能，减小管理开销；但簇内碎片浪费问题较严重；簇较小：簇内的碎片浪费较小，特别是大量小文件时有利；但存在簇编号空间不够的问题（如FAT12、16、32）；文件的存储空间通常由多个分立的簇组成，而每个簇包含若干