计算机痕迹检测原理及系统设计.pdf

《计算机痕迹检测原理及系统设计.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、中国电子学会第十四届信息论学术年会，2007年12月15．18日，广州计算机痕迹检测原理及系统设计李涛1陈鹏2张凯泽31．解放军理工大学通信工程学院研究生1队南京2100072．解放军理工大学通信工程学院研究生2队南京2100073．解放军理工大学通信工程学院电子信息工程系南京210007摘要：人们在使用计算机的时候会留下很多痕迹，痕迹检测对于计算机的安全防护雨I调查取证能起到重要的作用。本来介绍了在微软的Windows平台下各种痕迹的产生原理，然后提出了一个痕迹检测系统的设计方法。关键词：痕迹检测数据恢复日志NTFS文件系统XMLTheTheoryofComp

2、uterTraceDetectionandTheSystemDesignAbstract：Therewillbealotoftracewhenpeopleusethecomputer,Thecomputertracedetectionmakessignificanteffortsforthecomputersecurityprotection．investigationandprovidence．Thispapermainlyintroducesthetheoryofdifierentkindsofcomputertracesappear．Moreover,it

3、providesthesystemdesignaboutthetracedetection．KevWords：TraceDetectionDataRecoveryLogNTFSXML计算机已经渗透到社会的方方面面，不论是科学研究，还是行业应用，以及日常生活中，都有了日益广泛的应用。但是人们在使用计算机的时候都会留下一些蛛丝马迹，透漏出所进行的操作。鉴于目前微软的Windows系列是目前最流行的个人操作系统，本文针对Windows2000／XP／2003操作系统，研究其痕迹形成的原理和检测方法。一、引言微软的Windows系列操作系统界面友好，应用软件丰富，即使非

4、专业人士也容易上手和使用。但人们在享受其易用性的同时，很容易忽略其内部实现的细节，也就带来了安全隐患。比如，人们输入过的账号密码，可能会被系统所记录，编辑过的文档也经常会有临时数据遗留在硬盘上，这些都会带来信息泄露的危险。另一方面，在计算机犯罪中，痕迹的检测则是计算机取证的一个重要技术手段，但是痕迹检测软件大多来自于国外，其质量关系到法律的公正与尊严，并不利于我们使用。二、痕迹产生的原理痕迹的产生，与操作系统的设计和软件的设计密切相关。在微软的Windows平台下，痕迹通常存放或遗留于内存、注册表、文件、隐藏目录或者硬盘的空白区域。根据计算机使用情况，可以将痕迹

5、划分操作系统痕迹、上网痕迹、常用软件痕迹、己删除文件、系统日志共五种痕迹，下面分别介绍其原理。2．1操作系统痕迹是指使用Windows操作系统时的痕迹，包括“最近访问的文档”、“运行记录”、“搜索记录”、“剪贴板”、“系统临时文件”以及“用户临时文件”等。562http://taobao43.net/list.php/0-0-1-1000000-%25B9%25FA%25B2%25FA%25CA%25D6%25BB%25FA.html中国电子学会第十四届信息论学术年会，2007年12月15—18日，广州我们打开过的Word文件、pdf文件、图片、网页等文档会在“

6、最近访问的文档”中留下快捷方式，其实际位置为用户目录下的Recent目录，CSIDL值为CSIDLRECENT。在开始菜单的“运行”栏里输入过的程序或文档都会被记录到注册表的HKEYCURRENTUSER＼Software＼Microsoft＼Windows＼CurrentVersion＼Explorer＼RunMRU项中。在搜索时，搜索的内容会被记录到注册表的HKEYCURRENTUSER＼Software＼Microsoft＼SearchAssistant＼ACMru＼5603中。复制或粘贴数据时，这些数据会暂时遗留在内存中。大部分程序运行时都会产生临时文件

7、，这些被放在系统和用户的临时目录中。2．2上网痕迹上网痕迹包括“地址栏列表”、“历史记录”、“Cookies”、“临时文件”、“index．dat文件”和“网络账号。和口令”。在浏览器的地址栏中输入一个网址来浏览网页时，此网址被记录到注册表的HKEYCURRENTUSER＼Software＼Microsoft＼InternetExplorer＼TypedURLs项中，网页打开后网址会被记录到“历史记录中”，其位置为用户目录下的History目录，CSIDL值为CSIDLHISTORY，此目录下是一系列的index．dat文件。许多时候服务器还会写入一个Cooki

8、es文件到Cookies