论计算机取证工具软件及其检测

论计算机取证工具软件及其检测

3、计算机取证的相关工具

.3.1 一般工具软件

用于检测分区的工具软件、杀毒软件、各种压缩工具软件等。

3.2 取证专用工具软件：

文件浏览器：这类工具是专门用来查看数据文件的阅读工具。只用于查看而没有编辑和恢复功能，从而

体积较小并可以防止证据的破坏。比较好的软件是Quik View Plus()。它可以

识别200种以上文件类型，可以浏览各种电子邮件文档。比起WordPerfect的频繁转换要方便的多。

Conversion Plus可以用于在Windows系统下浏览Macintosh文件。

图片检查工具：ThumbsPlus是一个功能很全面的进行图片检查的工具。

反删除工具：这方面的取证分析工具中最主要的是诺顿工具，虽然这是一个老式的工具，但在有些时候

是很有用的。

CD-ROM工具：使用CD-R Diagnostics可以看到在一般情况下看不到的数据。

文本搜索工具：dtSearch是一个很好的用于文本搜索的工具，特别是具有搜索Outlook的.pst文件的

能力。

驱动器映像程序：可以满足取证分析（即逐位拷贝以建立整个驱动器的映像）的磁盘映像软件包括：

SafeBack()、SnapBack()、

Ghost()、dd(UNIX中的标准工具)等。

磁盘擦除工具：这类工具主要用在使用取证分析机器之前，为了确保分析机器的驱动器中不包含残余数

据，显然，只是简单的格式化肯定不行。从软盘启动后运行NTI公司的DiskScrub程序即可把硬盘上的

每一扇区的数据都清除掉。

取证程序：取证软件的效能倾向于同时拥有收集及分析数据的功能。目前，国际上的主流产品有：

Forensic Toolkit：是一系列基于命令行的工具，可以帮助推断Windows NT文件系统中的访问行为。

这些程序包括的命令有：AFind(根据最后访问时间给出文件列表，而这并不改变目录的访问时间)、

HFind(扫描磁盘中有隐藏属性的文件)、SFind(扫描整个磁盘寻找隐藏的数据流)、FileStat(报告所有单

独文件的属性)、NTLast(提供标准的GUI事件浏览器之外对每一个会话都记录了登录及登出时间，并且

它能够指出登录是远程的还是本地的)。

The Coroner’s Toolkit(TCT)：主要用来调查被“黑”的Unix主机，它提供了强大的调查能力，它的特

点是可以对运行着的主机的活动进行分析，并捕获目前的状态信息。其中的grove-robber可以收集大

量的正在运行的进程、网络连接以及硬盘驱动器方面的信息。数据基本上以挥发性顺序收集，收集所有

的数据是个根缓慢的过程，要花上几个小时的时间。TCT还包括数据恢复和浏览工具unrm&lazarus、

获取MAC时间的工具mactime。还包括一些小工具，如ils（用来显示被删除的索引节点的原始资

料）、icat(用于取得特定的索引节点对应的文件的内容)等等。

EnCase自称是唯一一个完全集成的基于Windows界面的取证应用程序，其功能包括：数据浏览、搜

索、磁盘浏览、数据预览、建立案例、建立证据文件、保存案例等。

ForensicX：主要运行于Linux环境，是一个以收集数据及分析数据为主要目的的工具。它与配套的硬

件组成专门工作平台。它利用了Linux支持多种文件系统的特点，提供在不同的文件系统里自动装配映

像等能力、能够发现分散空间里的数据、可以分析Unix系统是否含有木马程序。其中的Webtrace可

以自动搜索互联网上的域名，为网络取证进行必要的收集工作，新版本具有识别隐藏文件的工具。

New Technologies Incorporated (NTI, .)：NTI是取证软件最为

固定的商家之一。NTI以命令的形式执行软件，所以速度很快，软件包的体积小，适合于在软盘上使

用。该公司提供的取证工具包括：

CRCMD5：一个可以验证一个或多个文件内容的CRC工具。

DiskScrub：一个用于清除硬盘驱动器中所有数据的工具。

DiskSig：一个CRC程序，用于验证映像备份的精确性。

FileList：一个磁盘目录工具用来建立用户在该系统上的行为时间表。

Filter_we：一种用于周围环境数据的智能模糊逻辑过滤器。

GetSlack：一种周围环境数据收集工具，用于捕获未分配的数据。

GetTime：一种周围环境数据收集工具，用于捕获分散的文件。

Net Threat Analyzer：网络取证分析软件，用于识别公司互联网络账号滥用。

M-Sweep：一种周围环境数据清除工具。

NTI-DOC：一种文件程序用于记录文件的日期、时间以及属性。

PTable：用于分析及证明硬盘驱动器分区的工具。

Seized：一种用于对证据计算机上锁及保护的程序。

ShowFL：用于分析文件输出清单的程序。

TextSearch Plus：用来定位文本或图形文件中的字符串的工具。

本文所论述的软件工具主要是指取证专用软件。

计算机取证工具应具备的基本功能

计算机取证需要的软件工具必须满足最基本的取证要求，具备下列基本功能之一：

发现计算机证据

可以根据案情定位可疑主机和犯罪现场的位置。

存储计算机证据

存储计算机证据的软件工具主要是指那些能够对计算机证据进行保全的软件，可以证明计算机证据从获

取到提交法庭这段时间内没有被修改过。

传输计算机证据

能够保证计算机证据的可靠传输。

三、计算机取证工具检测的必要性

目前，计算机取证工具主要是国外生产的，国内的产品还寥寥无几。但是，随着计算机应用的普及，计

算机证据会越来越多，用于计算机取证的国产工具目前也有了一些并且有一些正在研制过程中。哪些软

件工具可以用于计算机取证，哪些企业可以生产计算机取证工具，什么样的计算机取证工具可以用于司

法活动，这些都是亟待解决的问题。所以，我国计算机取证工具的检测和认定是十分必要的。可以在“双

软认定”（是指软件企业的认定和软件产品的登记，

/cognizance_guide_）的基础上进行更加严格细

致的专业测试和管理。

计算机取证工具的生产属于特殊行业

生产计算机取证工具软件的企业实际上是在生产破案工具，应该是经过严格的资格认定的企业或者国家

机关，并且应该属于Federa1 Agent机关或其他司法机关认定的特殊行业。目前的这种任何软件企业都

可以生产和研制的状况必须改变。

计算机取证工具软件的质量事关重大

计算机取证软件工具的质量关系到案件是否能够及时侦破，关系到司法活动的公平和公正性。如果计算

机取证工具质量低劣或者功能欠缺就有可能造成犯罪分子逍遥法外或者错抓错捕的情况，使法律失去尊

严、丧失公正。所以，计算机取证工具的质量必须得到保障。

四、计算机取证工具的检测方法

制定计算机取证工具产品和行业标准

生产计算机取证产品的企业应该进行特种行业的资质认定，在有管理部门备案。同时，制定管理办法对

从事计算机取证产品的生产企业进行常规管理。这些管理办法应该包括生产企业的规模、设备、技术水

平、技术人员等等。应定期对生产企业进行检查，对于不具备生产条件的企业或者生产的产品不合格的

企业应该予以撤销。对于信得过的产品可以加以推广以形成我国自己的具有代表性的取证产品。

计算机取证产品的管理包括产品生产和使用全过程的管理。特别是，在产品投入使用之前应该进行严格

的测试和试运行。计算机取证产品应该严格禁止假、冒、伪、劣，采用软件水印技术等先进技术并建立

严格的法律法规防止盗版侵权。这方面的管理标准应该包括产品的质量标准、准用标准等。

设立专门的检测机构

应该在产品质量监督部门设置专门的机构或实验室进行计算机取证产品的检测。这样的部门应该由计算

机软件测试专家、计算机取证专家和其他计算机专业人员组成，负责对计算机取证工具软件产品进行严

格的检测和认定，只有通过这一机构认定的产品才可以投入使用。

计算机取证软件产品检测实务

计算机取证软件的检测应该包括计算机取证软件的测试和检查两大部分。具体地，应该有以下步骤组成

检查产品的生产企业的资质、检查提交的产品的各种文档是否齐全。

撰写测试计划：仔细阅读产品的各种文档后撰写测试计划，在测试计划中应该写清楚测试的范围、需

求、参考资料、技术背景、产品的必备功能、产品的可选功能、测试方法、采用的测试工具、测试用例

的详细描述和有关数据列表、在每一个测试用例中应该特别注意写清楚所有可能的输入和应该出现的输

出结果。

进行测试：严格按测试计划对产品进行详细的测试。测试过程要详细记录：每一个运行结果、反应时

间、评价等等

撰写测试报告和检测报告：测试和检查结束后应该根据记录的结果撰写详细的测试报告和检测报告。测

试报告和检测报告应该包括：检测人，检测日期，实际使用的检测方法和工具，检测的技术指标，输

入，输出，每一项输出是否满足要求，响应时间，结论等。

五、结论

随着网络和计算机技术的发展，以数字形式存贮和传输的计算机证据逐渐增多，用于计算机取证的工具