麦永浩 电子数据司法鉴定案例

《麦永浩 电子数据司法鉴定案例》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、第十五章电子数据司法鉴定案例本章重点内容与学习要求：本章是三个真实的电子数据司法鉴定案例，包括破坏计算机信息系统、网络诈骗、网络赌博三种类型。其中不同类型案件的分析过程和鉴定思路是本章的重点，鉴定意见和结论是本章的难点。第一节某破坏网络安全管理系统案一、基本案情及委托要求（一）基本案情2007年6月，某市公安局网监支队破获一起破坏网络安全管理系统的案件，并依法对涉案的10家经营性互联网上网单位进行了查处。该案中，技术员汪某使用VisualBasic语言编写了一个针对网吧安全管理系统的破解程序，并免费提供给多家网吧使用。该程序通过对计算机信息系统中存储、传输的数据进行删除、修改，使得网络实

2、名制安全管理系统功能无法正常发挥作用。这是国内首例以删除、修改计算机信息系统中存储、传输数据的方式，破坏、干扰网络实名制安全管理软件功能的案件。委托方将扣押的服务器送至某司法鉴定所，要求对服务器硬盘内的电子数据进行鉴定。（二）委托要求1．鉴定硬盘中是否存在svchost.exe文件和system.ini文件。2．鉴定svchost.exe文件编写的相关时间信息以及制作方式。3．获取svchost.exe文件的源程序代码并分析相关参数。4．鉴定svchost.exe文件的功能及运行原理。5．提取与案件相关的其他证据。二、鉴定过程由于公安机关前期侦查和审讯较充分，本案中的关键电子证据集中在一

3、个名为“svchost.exe”的可执行文件和一个名为“system.ini”的配置文件41上，所以鉴定工作可以采取单刀直入的策略，直接从这两个文件入手进行分析。为保护隐私信息，案例中的人名、单位名称均隐去，另外为适应本书教学要求和篇幅限制，鉴定意见书的内容与原文有所差异，后面的案例也依照此例，不再赘述。（一）鉴定方法送鉴检材通过只读锁与取证专用计算机连接，通过专业取证软件进行初步分析，如果数据已被删除，则进行针对性恢复，对全部嫌疑数据进行分析统计并形成鉴定意见书。证据文件固定后打包，并计算hash值。鉴定意见书和提取电子证据清单刻录成光盘，和打印件一并提交给委托方。鉴定完成后，除需存档

4、的鉴定书和有关附件的电子数据外，销毁取证过程中产生的所有数据，整个操作流程对原始存储媒介中保存的所有信息不会造成任何影响。送鉴检材有故障的，将在鉴定意见书的鉴定分析部分予以说明。以上是鉴定的一般方法，其中有几个要点需要说明。1.为保证电子证据的原始性和完整性，一般情况下不允许开启送检计算机、服务器等电子设备，而应将电子设备中的存储介质拆卸下来，拆卸下来的存储介质也不允许直接与取证计算机连接，必须使用只读设备或其他能够保证电子数据原始性和完整性的手段再通过专业取证软件进行分析和鉴定。2.鉴定分析时不应只检查文件系统表面的数据，对于被隐藏或已删除的数据也需要仔细检查。一些案件中，重要的电子证

5、据往往被具备反取证意识的当事人故意隐藏或销毁。3.电子证据固定之后，需要对其进行hash校验，如果除鉴定意见书之外还有多个附件的，每个附件均需要进行hash校验，这同样是为了保证电子证据的原始性和完整性，同时保证证据链条的严密可信。4.取证过程中难免会有一定数量的数据从原始检材导入到鉴定专用的计算机中，如果案件本身有保密方面的要求，则必须在鉴定主体工作完成之后，销毁鉴定专用机中除必要鉴定档案之外的其他中间数据，此外，每名鉴定人最好备有两台鉴定专用机，一台允许接入互联网，另一台则应一直与互联网物理隔离，防止泄密事故的发生。5.如果送检计算机或存储介质本身有故障的，委托方需要事先说明，如果委

6、托方送检之前因检材数量过大或时间紧未检测是否存在故障的，鉴定人在鉴定过程中发现有故障检材应该尽早通知委托方，并在鉴定方法之后做免责声明，如果检材无故障，则应在鉴定书正文中注明“检材工作情况良好”，以免发生不必要的纠纷。（二）检查情况经测试，送鉴方所提供存储介质工作情况良好，可以正常读出数据。在三块41服务器硬盘的不同目录下，均找到svchost.exe文件和system.ini文件。表15-1-1、目标文件基本信息硬盘标签svchost.exe文件位置创建时间system.ini文件位置创建时间*A网吧第三逻辑分区“35435346”目录下2007年5月31日2:00:16第四分区“

7、windowssystem32”目录下2007年5月31日1:53:41*B网吧第二逻辑分区“20070530”目录下2007年6月11日22:03:55第四分区“windowssystem32”目录下2007年6月11日21:59:34第四逻辑分区“Sicent”管理员用户桌面2007年6月19日1:55:14*C网吧第三逻辑分区“gequ”目录下2007年5月29日18:42:33第三分区的“gequ”目