电子数据取证技术研究与应用

自一个主机 的读指令操作类的操作后，应通过读操作返回请求的 并把请求的数据返回给主机的操作 。写保护器在收到一个来 自主
息提 取 出来 ，本文 以电子证 据 的载体 之一—— 硬 盘 为例 ，研究 分 数据 。读 指令 操作 可包括 ：从 某个 存储 介质 的特 定位 置请 求数据
析电子数据取证过程。 对一个电子证据的取证一般包括三个阶段：
— —
４ ——
计算机光盘软件与应用
２ １ 年第 １ ０１ ３期 Ｃ ｍｕ ｅ ＤＳ ｆ ｗ ｒ ｎ ｐ ｌ ｃ ｔ Ｏ ｓ ｏ ｐ ｔ ｒＣ ｏ ｔ ａ ｅａ ｄＡ ｐ ｉａ ｉ ｎ 信息技术应用研究
须 能够 说 明在 证据 从 最初 的获取 状态 到在 法庭 出现 状态之 间 的任 般 是 以可 启动 光盘 形式 出现 ，取证 人 员可 以利用 可 以启动 的、 不 何 改变 。 因此 ，取证 过程 中 ，应 记录 电子 证据 的相 关操作 ，第 三 会 改写硬 盘数 据 的光盘 启动计 算机 ，将 数据采 集 出来 。 方 应 能根据 之前 记录 的操 作 ，取得 相 同的结果 。其 中 ，分析 数据 （ ）Ｗｎ ｏ ｓ 盘数据 镜像 采集 。Ｗｎ ｏ ｓ 盘数据 镜像 采 １ ｉｄｗ 硬 ｉｄｗ 硬 集 步骤 操作如 下 ：１ ）拆除将 接 受数据 取证 的硬 盘 ；２ ）通 过硬 盘 写 保护 器将接 受数 据取 证 的硬盘 连接 到另 外一 台计算 机上 。利 用 计 算机 应用 软件 复制硬 盘数 据到 目标 硬盘 。 硬 盘写 保护器 是保 护 原硬盘 数据 不被 更改 的设 备 ，写保护 器 与取证 硬盘 的接 口及应 用称 述应 具有 单 向功 能，单 向的方 向必须 是取证 硬盘 向复制机 的 目标硬 盘 ，不可逆 向。写保 护器 在收 到来
手 机 、Ｐ Ａ 盘 、路 由器等 电子设 备 中存在 的 ，以 电子技 术为 基 传送 和 运输 方便 ，可 以反复 重现 ，作 为证 据 易于 使用 、便 于操 作 Ｄ 、Ｕ （ ）电子 证据 取证 原 则 三 基于 以上特 点 ，为确 保 电子证 据 可信 、准 确 、完整 并符 合 相 关 的法律 法 规 ，对 电子证 据 的收 集和 审查 判 断都 有严格 的要求 ， 电子 数据 取 证必 须遵 循 以下主 要原 则 ：
ＨｕＹｉ ｐ ｎ ｎ ｉｇ
（ ｃｏ ｌ ｆ ｏｔ ａｅＥ ｇｎ ｅｉ ，ｏ ￣ｉ ｎｖ ｒｉ ，ｈ ｎ ｈ ｉ ０ ０ ２Ｃ ｉ ） Ｓ ｈ ｏ ｏ ｆ ｒ ｎ ｉ ｒ ｇＴ ｎ ｉ ｓｔ Ｓ ａ ｇ ａ Ｓ ｗ ｅ ｎ Ｕ ｅ ｙ ２ ０ ９ ，ｈｎ ａ
Ａｂ ｔ ａ ｔＥ ｅ ｔ ｎ ｃＤａａＦ ｒｎ ｉ ｓ ｔ ｅ ｄ ｖ ｌｐ ｎ ｆ ｅ Ｉ ｔｍｅ ｎ ｍｅｇ ｎ ｅ ｄ ｓ ｉ ｌ ｅｔ ｅｐ ｐ ｒｔｅ ｃ ｎ ｅ ｔ ｓｒ ｃ ： ｌｃｒ ｉ ｏ ｔ ｏ ｅ ｓ ， ｈｔ ｅ ｅｏ ｍｅ ｔ ｅ ｔａ ｄ ｅ ｒ ｉｇ ａｎ ｗ ｉｃｐ ｉ ， ａ ｅ ｏ ｃ ｐ ｃ ｗｉ ｈ ｏｔ ｎ ｈ ｎ ｈ ｈ ｏ ｌｃ ｒ ｎｃ ｄ ｔ ｎ ｖ ｄ ｎ ｅ ｏ ｌｃｉ ｎ ｔｃ ｎ ｑ ｅ ，ｈ ｒ ｃｅ ｉ ｉｓｓ ｏ ｌ ｏｌ ｗ ｈ ａ ｉ ｒ ｃｐ ｅ ｒ ｅ ｓ ｍｍａｉ ｅ ， ｅ ｆ ｅｅ ｔｏ ｉ ａａ ａ ｄ ｅ ｉｅ ｃ ｃ ｌ ｔ ｅ ｈ ｉ ｕ ｓ ａ ａ ｔｒ ｔ ， ｕ ｄ ｆ ｌ ｅ ｏ ｃ ｓｃ ｈ ｏ ｔ ｅ ｂ ｓ ｐ ｉ ｉ ｌｓ ｗｅ ｕ ｃ ｎ ｒ ｄｔ ｚ ｈ ｅ ｉ ｅ ｃ ｔ ｄ ｃ ｄｅ ｅ ｔ ｎ ｃｄ ｔ ｌｃｒ ｎ ｃｄ ｔ ｒ ｖ ｄ ｎ ｅｏ ｉ ｅ ｅ ，ｖｄ ｎ ｅａ ａ ｙ ｉ ｄ ｏｈ ｒ ｅ ｃ ｎ ｌ ｇ ｓ ａｃ ｖｄ ｎ ｅｉｒ ｕ ｅ ｌｃｒ ｉ ａＯｆ ｅ ｔ ｉ ａ ａ ｆ ｉ ｅ ｃ ｆ ｖ ｄ ｎ ｅｅ ｉ ｅ ｃ ｌ ｓｓ ｎｏ ｏ ａ ｅ ｏ ｏｅ ｅ ｎ ｎ ａ ｔｅ ｙ ｔ ｈ ｏ ｏ ｙ ｒ ｅ ｒ ｈ ｋ ｅ ｅ ａ ｄ ａ ａｙ ｉ ａ ｄ ｈ ｒ ｖｄ ｎ ｅｆ ｒ ｅ ａ ｌ，ｅａ ｌｄ ｅ ｉ ｅ ｃ ｏ ｌｃｅ ｎ ｅ ｅ ｔｏ ｉ ａｄ ｒ ｅ ａ ｄ ｓ ｆ ｒ ｌ ｎｎ ｅ ｈ ｏ ｏ ｙ ｎ ｎ ｌｓｓ ， ａｄ ｅ ｉ ｅ ｃ ， ｘ ｍｐ ｅｄ ｔ ｉ ｖ ｄ ｎ ｅ ｃ ｌ ｔ ｄ ｉ ｌｃ ｎｃ ｈ ｒ ｗａ ｎ ｏ ｔ ｅ ｃｏ ｉ ｇ ｔｃ ｎ ｌ ｇ ｎ ｏ ｅ ｅ ｒ ｗａ ａ ｑ ｉｉ ｏ ． ｃ ｕ ｓ ｉｎ ｔ
或计算机信息系统运行过程中产生的，以其记录内容来证明案件 其 删 除、修 改 后 ，它 既不可 逆转 ，也很难 留下痕 迹 。因此 ，同其 明案件事实的证明性文件的过程。电子物证取证包括计算机及所
有 与数 字 技术 相 关 的取 证 领域 。
电子数据或信息是以 “ 比特”的形式存在 的，是非连续的，数据
Ｋ ｅ ｗ ｏ ｄｓＥｌｃｒ ｎｉ ａ ；ｏｒｎｓｃ ； ｉｄｅ ｅａ ｉ ｂｌ； ｉ ｅ ｃ ａｙ ｉ ｙ ｒ ： ｅ ｔｏ ｃｄ ｔ Ｆ ｅ ｉｓＥｖ ｎｃ ｖａｌ ｅＥｖ ｄ ｎ ｅａ ｌｓｓ ａ ａ ｎ
当前 ，全球 已步入信息化时代，随着计算机网络技术的迅速
发展 和 普及 ， 网络 安全 问题 日益 突 出 。而对 一切 违 法犯 罪活 动 的 诉 讼 都 是 围绕证 据 的收集 和 审查 展 开 ，网络 违法 犯罪 活 动 的特 点 决定 了 电子 数据 取证 的重 要 性 ， 电子数据 取 证技 术是 计算 机 学与 法 学 、刑 法 学相 互交 叉 的一 门新 兴学 科 ，是伴 随着 信 息 网络技 术 的 发展 以及 网络 违 法 犯 罪 这 一 新 的犯 罪 形 式 出现 而 出现 的新 技
１ 高科 技性 。 电子证 据 的产 生 、存储 和传 输都 是 以计 算机 技 人 员必 须有 能 力胜任 此 操作 ，并 能给 出相关 解释 ，说 明要访 问原 ＿
术 、存储技术 、通信技术、网络技术等高科技为基础的，离开了 始证 据 的理 由。
相 应 的技 术设 备 ， 电子证据 就 无法保 存 和传 输 。 ３ 完整 记录 操作 过 程原 则 。在证 据被 正式 提 交给法 庭 时 ，必 ．
关． 词 ： 电子数 据 ；取证 ；证 据获 取 ；证 据分 析 － 【
中图分类号：Ｔ ３ １ Ｐ ９
文献标识码 ：Ａ
文章鳊号 ：１０— ５９（０ １ ３ ０ ０— ３ ０ ７ ９ ９ ２ １ ）１－ ０４ ０
Ｅｌｃ ｒ ｎ ｃＤａ ａＦｏ ｅ ｓｃ ｃ ｎ ｌ ｇ ｓ ａ ｃ ｎ ｐ ｉａ ｉ ｎ ｅ ｔｏ ｉ ｔ ｒ ｎ ｉ ｓＴｅ ｈ ｏ ｏ ｙ Ｒｅ ｅ ｒ ｈ ａ ｄ Ａｐ ｌ ｔｏ ｃ
的计算机系统和辅助软件必须安全、可信。 ４ 遵循法律法规原则。 ． 各个国家及地区都有相应的法律法规，
应 根据 当地法律 法规 来进 行 电子取证 。 二 、电子 证据 取证 过程及 应用 在许 多计 算机 化的产 品中都会 存 有 电子证据 ，也 有许 多形 式 的存 储介 质 ， 括移 动 电话 、 Ｄ 、硬 盘、光 盘 ， 至 网线、电缆、 包 ＰＡ 甚 空气 中也 能携 带数 字信 息 ，通过 适 当的设 备 ，就 能将 这些 数字 信
１无损害原则。任何执法人员不能采取任何改变嫌疑人计算 ． 机或存储介质中数据的行为。 ２ 避免使用原始证据原则。不要直接对原始证据进行分析， ． 在特殊情况下，如需访 问在原始计算机或存储介质中的数据，该
电子证据是新时的产物 ，综合来看 ，电子证据的特征区别
传统 证据 主 要体 现在 以下五个 方面 的特 点 ：
或 信息 被人 为地 篡 改后 ，如 果没 有可 对 照 的副本 、映 像文 件 则难 以查清 、难 以判 断 。 此 外 ，电子 证据 还具 有 收集 迅速 ，易于 保存 ， 占用空 间少 ，
等特 点 。
电子数据的定义也有很多种， 简单讲就是指基于计算机应用、
通 信和 现 代化 管理 技术 等 电子 化技 术手 段 形成 包括 文字 、图形 符 号 、数 字 、字 母等 的客 观 资料 ，具 体 主要 是指 在计 算机 、 网络 、 础 ，能够 反 映 电子 设备 运 行状 态 、活动 以及具 体思 想 内容 等事 实 的各类 数 字数 据或 信息 ，如文 本 、 图形 、 图像 、动 画 、音频 及视 频 ，系 统 日志 、防火 墙与 入侵 检测 系 统的 工作 记录 、反 病毒 日志 、 系 统 审计 记录 、 网络监 控 流量 ，操 作系 统 文件 、数 据库 文件 和操 作 记录 、 软件 设置 参数 和 文件 ，完 成特 定 功能 的脚 本文 件或 会话 日志和 实 时聊 天记 录等 。 （ ） 电子证据 特 点 二
术。
一
２ 精确性。电子数据在传输、存储过程中，基本不会发生错 ．
误 ，且很 少 能受 到主 观 因素 的影 响 ，因为 计算 机把 它 要处 理 的任 何文 字 、 图像 、声音 等都 转换 成 二进 制码 ，其 一经 形成 便始 终保 持最 初 、最原 始 的状 态 ，精确 性相 对 于其 它任 何形 式 的数据 是无
料、物证等证据种类相 同或相似 的表现形式，能够更加直观、清
晰 、生动 、完 整地 反 映待证 事 实及 其形 成 的过程 ，表 现 形式 上具
有较 强 的复合 性 。
４ 脆弱性 。由于电子数据是以磁或光信号的形式存在 的，对 ．
它 证据 相 比， 电子 证据 更容 易被 破坏 和修 改 。 ５易 破坏 性 。 电子证据 极 容易 被篡 改 、伪造 、破 坏或 毁 灭 ， ．
语伦 比的 。
３ 复合性 ，电子 证据 不仅 可 以为 单一 媒体 形式 ，还 可 以为文 ． 本 、图形 、 图像 、动 画 、音频 、视 频 等多种 信 息形 成 、存储 于计 算机 硬盘 、Ｕ 盘 、光 盘 、存储 卡等 介质 中 ，具有 与 书证 、视 听 资