基于逆向综合项目工程的计算机取证专项方案研究应用.doc
《基于逆向综合项目工程的计算机取证专项方案研究应用.doc》由会员分享,可在线阅读,更多相关《基于逆向综合项目工程的计算机取证专项方案研究应用.doc(6页珍藏版)》请在咨信网上搜索。
1、基于逆向工程计算机取证方案研究 摘 要:自从互联网问世几十年来,带动了计算机普及同时,同时也造成了计算机犯罪案件大幅上升。计算机中电子证据因为其虚拟性,易修改、易丢失等特征,加之操作系统、程序本身封装限制,所以造成了计算机犯罪中取证困难。近几年来,因为逆向工程方案问世,一个崭新程序测试方法也随之诞生。本文利用逆向工程方面知识,探讨该项技术方案在计算机取证中应用,以求能降低计算机犯罪中取证困难度。 关键词:逆向工程;计算机取证;网络犯罪 中图分类号:TP391.7 目前,网络空间现在在以高速节奏发展壮大,几乎天天全部有计算机被用于从事犯罪活动。伴随计算机网络、硬件和软件组成越来越复杂,加之其和传
2、统证据勘验、检验方法和取证对象等不一样,也增加了将其用于犯罪活动可能性和取证难度。因为在软件测试中,黑盒测试方法无法获知源程序是否被篡改,犯罪分子有可能利用程序封装性所造成取证难度加大而隐藏了犯罪证据。逆向工程可从本质上分析程序代码结构和程序运行步骤,从而得到犯罪分子犯罪证据。 1 逆向工程介绍 计算机程序通常是用C、C+等高级语言编写后,由编译器编译成机器语言形式目标文件后,再经过链接过程最终生成可实施程序。逆向工程(Reverse Engineering)是将某封装好可实施程序还原成高级语言、汇编语言或是二进制代码一个技术。通常源程序和逆向分析后结果存在不一样,运行结果即使相同,不过代码会
3、发生很大改变,这就需要分析侦查人员对软件测试、计算机低级语言甚至程序运行原理有着深刻认识和了解。 现在逆向工程常见分析软件分为两大类:动态反汇编分析和静态反汇编分析软件。在“动态分析”过程中,调试器加载程序,并以调试模式运行,分析者能够在程序实施过程中获知程序运行步骤和最终结果。不过实际分析中,很多情况并不能实际运行目标程序,比如某一个无法单独运行模块、恶意代码、硬件环境和程序不兼容而造成无法运行而所谓“静态分析”,是相对于“动态分析”而言。调试工具Ollydbg含有动态分析功效,不过其反汇编辅助分析功效有限,所以通常使用功效极为强大反汇编静态分析工具IDA Pro。 2 利用逆向技术分析计算
4、机物证实例 本文以某个已经捆绑了一个隐藏未知程序可实施程序为例,此已知可实施程序为一个常见应用程序,并无危害,不过其内部捆绑了一个未知程序,一般黑盒测试中是无法判定其危害性,进而也无法取得这种情况下电子物证。下面经过逆向技术分析,来判定这个未知程序作用和取得该电子物证。 试验环境为Windows 8.1下VMWare虚拟机配置Windows XP SP3操作系统环境。某未知程序,其运行后效果为系统提供cmd.exe程序,不过因为其被附加了另一个未知程序,不能判定该程序类型、功效,所以我们利用互式反编译工具IDA Pro来进行分析。图1为使用IDA Pro打开该程序后界面。 图1 使用IDA P
5、ro打开该程序后界面 从图1能够得出该文件是一个Win32 PE文件。Win32 PE(Protable Execute)文件名称为可移植实施文件,日常所用exe、com、sys等后缀名文件全部属于PE文件类型,该文件是windows系统上程序文件,其有可能直接实施,也有可能以动态链接库(dll)形式间接运行。我们在调试VC+开发程序时,总是从main(或是WinMain)函数开始,实际上,在这两个函数被调用运行之前,已经有真正入口函数被调用,通常入口函数是mainCRTStartup、wmainCRTStartup、WinMainCRTStartup和wWinMainCRTStartup,具
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 基于 逆向 综合 项目 工程 计算机 取证 专项 方案 研究 应用
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【二***】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【二***】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。