第1章  计算机取证与司法鉴定概论 1

1.1  计算机取证与司法鉴定 1

1.1.1  计算机取证 1

1.1.2  计算机司法鉴定 1

1.1.3  计算机取证与司法鉴定的研究现状 2

1.1.4  国内外在该学科领域已经取得的成果和进展 3

1.1.5  计算机取证与司法鉴定的证据效力和法律地位 6

1.1.6  计算机取证与司法鉴定的特点 7

1.1.7  计算机取证与司法鉴定的业务类型 8

1.2  计算机取证与司法鉴定原则 9

1.2.1  国内外的计算机取证与司法鉴定原则评介 9

1.2.2  计算机取证与司法鉴定原则 10

1.2.3  国外的计算机取证过程模型 14

1.3  计算机取证与司法鉴定的实施 16

1.3.1  实施步骤 16

1.3.2  计算机证据的显示与质证 19

1.4  计算机取证与司法鉴定的发展趋势及分析 20

1.4.1  主机证据保全、恢复和分析技术 20

1.4.2  网络数据捕获与分析、网络追踪 21

1.4.3  主动取证技术 22

1.4.4  计算机证据法学研究 23

1.5  小结 24

习题 24

参考文献 24

第2章  计算机取证与分析鉴定相关的法学问题 25

2.1  电子证据概述 25

2.1.1  电子证据的界定 25

2.1.2  电子证据的特点 29

2.1.3  电子证据的法律定位 31

2.1.4  电子证据的可采标准 35

2.2  司法鉴定 36

2.2.1  司法鉴定概述 36

2.2.2  司法鉴定人 37

2.2.3  司法鉴定机构和司法鉴定法律制度 39

2.2.4  司法鉴定原则和方法 39

2.2.5  鉴定意见 40

2.2.6  司法鉴定的程序 41

2.2.7  实验室认可 42

2.3  直接证据与间接证据 44

2.3.1  直接证据和间接证据的概念 44

2.3.2  直接证据与间接证据的特点 46

2.3.3  直接证据与间接证据的运用 46

2.3.4  电子证据与直接证据和间接证据 47

2.4  信息网络安全的法律责任制度 48

2.4.1  刑事责任 48

2.4.2  行政责任 50

2.4.3  民事责任 51

2.5  小结 54

习题 54

参考文献 55

第3章  数据恢复基础 56

3.1  数据恢复 56

3.2  数字证据调查过程 56

3.3  硬盘结构 60

3.3.1  硬盘外部结构 60

3.3.2  硬盘内部结构 61

3.3.3  硬盘逻辑结构 62

3.4  硬盘数据组织 63

3.4.1  低级格式化 63

3.4.2  分区 64

3.4.3  硬盘的高级格式化 64

3.4.4  硬盘数据存储区域 64

3.5  NTFS文件系统 81

3.5.1  NTFS的DBR 82

3.5.2  NTFS的元文件 83

3.5.3  NTFS的元文件与DBR参数的关系 89

参考文献 92

第4章  从硬盘中恢复和提取数据 93

4.1  MBR修复 93

4.2  分区恢复实例 93

4.3  DBR及FAT恢复实例 101

4.4  DATA恢复实例 113

参考文献 119

第5章  计算机取证与司法鉴定的基础 120

5.1  数据加密 120

5.1.1  密码学 120

5.1.2  传统加密算法 121

5.1.3  对称加密体系 121

5.1.4  公钥密码体系 124

5.1.5  散列函数 126

5.2  数据隐藏 128

5.2.1  信息隐藏原理 128

5.2.2  数据隐写术 130

5.2.3  数字水印 131

5.3  入侵与追踪 133

5.3.1  入侵与攻击手段 133

5.3.2  追踪手段 136

5.4  计算机取证与分析鉴定准备 139

5.4.1  针对具体案例制定相应的响应计划 139

5.4.2  设备准备 140

5.4.3  保护现场和现场勘查 141

5.5  计算机取证与分析鉴定设备 143

5.5.1  计算机取证与分析鉴定硬盘拷贝机 143

5.5.2  计算机取证与分析鉴定便携专用机 144

5.5.3  计算机取证与分析鉴定设备接口套件 145

5.6  密码破解 146

5.6.1  密码破解原理 146

5.6.2  一般密码破解方法 147

5.6.3  分布式网络密码破解 147

5.6.4  密码破解的应用部分 149

5.7  计算机证据的检验、分析与推理 152

5.7.1  计算机证据的鉴定 152

5.7.2  计算机证据的分析 152

5.7.3  计算机证据的推理 153

5.7.4  证据跟踪 153

5.7.5  结果提交 153

5.7.6  计算机取证与分析鉴定工具 154

5.8  小结 155

习题 155

参考文献 156

第6章  Windows系统的计算机取证和司法鉴定 157

6.1  Windows系统现场证据获取 157

6.1.1  固定证据 157

6.1.2  深入获取 161

6.2  Windows系统中电子证据获取 164

6.2.1  日志 164

6.2.2  文件和目录 167

6.2.3  注册表 170

6.2.4  进程列表 172

6.2.5  网络轨迹 175

6.2.6  系统服务 176

6.2.7  用户分析 178

6.3  证据获取/工具使用实例 180

6.3.1  EnCase 180

6.3.2  MD5校验值计算工具MD5sum 181

6.3.3  进程工具pslist 183

6.3.4  注册表工具Autoruns 184

6.3.5  网络查看工具fport和netstat 185

6.3.6  服务工具psservice 186

6.4  小结 187

习题 188

参考文献 188

第7章  UNIX/Linux系统的计算机取证与司法鉴定 189

7.1  UNIX/Linux操作系统概述 189

7.1.1  UNIX/Linux操作系统发展简史 189

7.1.2  UNIX/Linux系统组成 190

7.2  UNIX/Linux系统中电子证据的获取 192

7.2.1  UNIX/Linux现场证据获取 192

7.2.2  屏幕信息的获取 192

7.2.3  内存及硬盘信息的获取 194

7.2.4  进程信息 196

7.2.5  网络连接 197

7.3  Linux系统中的计算机证据的分析 199

7.3.1  数据预处理 199

7.3.2  日志文件 200

7.3.3  其他信息源 205

7.4  UNIX/Linux平台的电子证据处理工具 207

7.4.1  The Coroners Toolkit 207

7.4.2  Sleuth Kit 208

7.4.3  Autopsy 208

7.4.4  SMART for Linux 209

7.5  小结 214

习题 214

参考文献 214

第8章  网络取证 215

8.1  网络取证的定义和特点 215

8.1.1  网络取证的定义 215

8.1.2  网络取证的特点 216

8.2  TCP/IP基础 216

8.2.1  OSI开放系统互连参考模型 216

8.2.2  应用层 219

8.2.3  传输层 219

8.2.4  IP层 220

8.2.5  硬件层 220

8.2.6  网络取证中层的重要性 221

8.3  网络取证数据源 221

8.3.1  防火墙和路由器 221

8.3.2  数据包嗅探器和协议分析器 222

8.3.3  入侵检测系统 224

8.3.4  远程访问 225

8.3.5  安全事件管理软件 225

8.3.6  网络取证分析工具 226

8.3.7  其他来源 228

8.4  收集网络通信数据 228

8.4.1  技术问题 228

8.4.2  法律方面 234

8.5  检查和分析网络通信数据 234

8.5.1  辨认相关的事件 235

8.5.2  检查数据源 236

8.5.3  得出结论 239

8.5.4  攻击者的确认 240

8.5.5  建议 241

8.6  网络取证实例 242

8.6.1  发现攻击 242

8.6.2  初步分析 242

8.6.3  现场重建 243

8.6.4  取证分析 250

8.7  小结 250

习题 250

参考文献 251

第9章  木马取证与分析鉴定 253

9.1  木马简介 253

9.1.1  木马的定义 253

9.1.2  木马的特性 254

9.1.3  木马的种类 254

9.1.4  木马的发展现状 254

9.2  木马的基本结构和原理 256

9.2.1  木马的原理 256

9.2.2  木马的植入 256

9.2.3  木马的自启动 256

9.2.4  木马的隐藏和Rootkit 257

9.2.5  木马的感染现象 259

9.2.6  木马的检测 260

9.3  木马取证 260

9.3.1  取证的基本知识 260

9.3.2  识别木马 261

9.3.3  证据提取 265

9.3.4  证据分析 265

9.4  典型案例分析 268

9.4.1  PC-share 268

9.4.2  灰鸽子 271

9.4.3  广外男生 274

9.4.4  驱动级隐藏木马 275

9.5  小结 279

习题 279

参考文献 279

第10章  手机取证 281

10.1  手机取证概述 281

10.1.1  手机取证的背景 281

10.1.2  手机取证的概念 282

10.1.3  手机取证的原则 282

10.1.4  手机取证的流程 282

10.1.5  手机取证的发展方向 284

10.2  手机取证的基础知识 284

10.2.1  移动通信相关知识 285

10.2.2  SIM卡的相关知识 289

10.2.3  手机相关知识 291

10.3  手机取证工具 294

10.3.1  便携式手机取证箱CellDEK 295

10.3.2  XRY系统 296

10.4  小结 298

习题 298

参考文献 298

第11章  计算机取证与司法鉴定案例 299

11.1  计算机取证与司法鉴定模型和流程 299

11.1.1  计算机取证与司法鉴定模型 299

11.1.2  计算机取证与司法鉴定流程 299

11.2 “熊猫烧香”案件的司法鉴定 303

11.3  计算机软件侵权的司法鉴定研究 311

11.4  少女被杀案计算机线索获取研究 317

11.5  全国首例网站联盟诈骗案件的鉴定与启示 320

附录A  鉴定意见书的格式 323

附录B  Phase 2+SIM（16K EEPROM）卡基本文件规格（支持STK功能） 325

VIII

计算机取证与司法鉴定

XIII

目录