電子數據取證方法的探究

摘 要：電子數據是一種特殊的證據類型，由于其具有的特殊性要對證據取證進行特殊的取證方法。作者首先闡述了電子數據取證的概念和規范程序，然后羅列了電子數據取證中常用的電子數據取證技術：數據挖掘技術、數據復制技術、數據恢復技術以及密碼破解技術。最后簡單闡述了電子數據取證在多方面的應用，以供參考。

關鍵詞：電子數據；電子取證；取證方法

前言

電子數據雖然已經是證據的一員，但是電子數據有其自己的獨特性，不能與傳統的證據類型一概而論。由于電子數據不僅具有高速流轉的特性，同時還具有虛擬性、可修改性以及不穩定性等特性，所以要對電子數據在取證程序合法并且證據形式合法的情況下進行及時并合法的取證。又由于電子數據具有隱蔽性、專業性以及存在形式多樣化等特點，要使用專門的技術工具對電子數據進行專業并且全面的取證。

1 電子數據取證的概念

刑訴法將“電子數據”納入到證據的范疇，對證據的種類進行更加科學和規范的劃分，為偵查工作提供了很大的便利條件。電子數據證據作為證據類型的一種，在取證時要與其他類型的證據一樣要進行證據收集、審查、判斷，但電子數據有較其他傳統證據類型更加容易被修改、毀損，并且電子數據取證具有很強的專業性，這又使得對電子數據的取證有其自己不同于其他數據類型的取證程序。

2 電子數據取證的規范程序

由于電子數據本身的特殊性，任何人為或者非人為的因素都可能使電子數據遭到破壞，所以取證人員要掌握計算機知識，并且按照規范的程序對電子數據進行取證。

電子數據取證的第一步是保護證據現場，這是電子數據取證的前提條件，若沒有對證據現場的保護，后面的取證工作也將難以進行。在保護證據現場的前提下，要對電子數據進行提取和固定，只有這樣才能使得電子數據能夠得到運用，這也是保證電子數據有效的重要措施。最后一個程序是電子數據取證的核心和關鍵所在，就是運用相關的計算機技術對電子數據進行數據分析。

3 常用的電子數據取證的技術方法

3.1 數據挖掘技術

隨著信息與計算機技術的發展，各種信息數據猛增，能夠從大量的數據中提取出有用的信息在電子數據取證中至關重要。數據挖掘技術就是從大量的、模糊的、隨機的海量數據中提取出可能對案件直接或間接的偵破有利的數據后，并對其進行相關分析，運用關聯規則提取犯罪信息的關聯特征，從中挖掘出真正與案件相關的信息。

3.2 數據復制技術

在電子數據取證時，如果直接在被調查的電子設備中進行相關的取證操作，可能會導致原始數據損壞，這會嚴重影響后續的取證工作。數據復制技術就是將這些數據備份到另一個或者多個計算機中存儲，保證備份數據的一致性。

3.3 數據恢復技術

在犯罪實施過程中或者在案件發生后，犯罪嫌疑人可能會對與犯罪相關的的數據進行刪除或者破壞，使電子數據遭到人為的破壞。而數據恢復技術就是將被破壞的或者由于各種原因不可用的數據還原成可見的正常數據的技術，大多通過一些數據恢復工具來進行數據的恢復。

3.4 密碼破解技術

在某些情況下，文件或者文件夾可能會被設置密碼，這時就會用到密碼破解技術，從而分析出被破解的文件或者文件夾是否與案件相關聯，推進電子數據取證的進度。

4 電子數據取證在多方面的應用

4.1 WinRAR壓縮文件的電子數據取證

WinRAR軟件是Windows環境下的一種壓縮包管理器，能夠解壓或者生成壓縮文件。WinRAR軟件不僅允許用戶設置壓縮方式、壓縮格式、分卷大小等參數，同時還可以對文件內容或者文件設置密碼，并且在NTFS文件系統下運行“保存文件流數據”。這些功能雖然為用戶提供了很大的便利，但也為不法分子提供了隱藏或者惡意傳輸數據的方式。針對WinRAR壓縮文件的電子數據取證方法主要有WinRAR常規取證、WinRAR臨時文件（或臨時文件）的取證以及WinRAR壓縮文件中ADS的取證。

4.2 云環境下的電子數據取證

云服務具有大規模的數據接入與處理、IP的動態分配與管理、多租戶共享資源的服務方式、強認證的非強制部署等特點。云計算技術的發展給取證人員帶來了挑戰，由于云環境的特殊性，使對網絡電子犯罪活動的管控越來越困難。在云環境的現場取證中首先要確定云服務的類型，確定其到底是云設備、云軟件還是云平臺。在確定了云服務類型后，要確定數據是從云計算開發方、客戶端以及云服務供應商三方的哪一方的來源。在最后要通過特定手段對數據進行收集與獲取。

4.3 信息收集型木馬的電子數據取證

信息收集型木馬，顧名思義，就是在被信息收集型木馬入侵電腦后，電腦中的賬戶名稱、賬戶密碼、系統操作與鍵盤按鍵信息等重要信息都會被信息收集型木馬紀錄或者收集并送給此木馬的傳播者，使傳播者非法獲利。針對信息收集型木馬的電子取證主要從網絡信息傳輸、系統文件變化與惡意程序邏輯等三個方面入手，分析其惡意行為，最終從中找出相關的證據。

4.4 軟件代碼漏洞的電子數據取證

軟件漏洞不僅是信息安全風險的主要源頭之一，也是網絡攻防對抗中的重點。相關研究表明，漏洞的比例在逐年上升，信息安全受到威脅。軟件代碼漏洞的電子數據取證已經是構建安全體系的條件，并且對軟件代碼漏洞的電子數據取證不應該僅僅停留在個人電腦和Web上，還應該對Android和IOS等移動平臺的軟件代碼漏洞給予一定的關注。軟件代碼漏洞的電子數據取證方法主要技術有非執行棧技術、非執行堆與數據技術、內存映射技術、安全共享庫技術、沙箱技術、程序解釋技術、二進制文件分析技術等多種技術方法。

4.5 Windows注冊表的電子數據取證

Windows注冊表中具有容易被取證人員忽略的豐富的證據信息，如果知道了注冊表中存在的信息類型和位置，可以讓取證人員獲得大量的信息，使其更加快速的獲得更多電子數據證據。現在，例如EnCase、TFK等取證工具都有其強大的取證功能。為了弄清楚嫌疑人在計算機上的活動，可以通過鍵值來進行判斷。如，HKCU＼Software＼Microsoft＼Windows＼CurrentVersion＼Explorer＼ComDlg32＼OpenSaveMRU可以查看最近在WEB瀏覽器上瀏覽過的網站或者最近打開過的文檔、Hkcu＼Software＼Micorssoft＼Windows＼CurrentVersion＼Explorer＼ComDlg32＼LastVisitedMRU中記錄著最近文檔被打開和使用的路徑并且實時更新、HKCU＼Software＼Microsoft＼Windows＼CurrentVersion＼Explorer＼RecentDocs中保存著通過Windows資源管理器打開或者運行的文件、HKCU＼Software＼Microsoft＼Windows＼CurrentVersion＼Explorer＼RunMRU中包含通過開始->運行方式執行的命令、HKLM＼SYSTEM＼CurrentControlSET＼Control＼Session Manager＼Memory Management中保存著Windows虛擬內存（頁面文件）的設置信息。除此之外還有很多鍵值能夠幫助取證人員進行電子數據取證，這里就不一一贅述了。

4.6 偽基站數據的電子數據取證

隨著科技的發展，網民上網的方式不僅僅只是局限在傳統電腦，還擴大到了手機、平板電腦等移動終端設備上，這為利用“偽基站”進行犯罪活動提供了更多可能性。“偽基站”即假基站，其通過某種手段冒充公眾服務號碼，實施犯罪行為，為人民的生活造成了很大的干擾。“偽基站”設備的操作系統大多數都是基于Linux系統，這為取證人員的取證帶來了一定的不便。取證人員要在分析了偽基站的數據來源的情況下，對其進行文檔數據、數據庫文件、bg日志文件數據的提取。

5 結束語

近年來網絡犯罪急劇增長，也使得我們對網絡安全的重視程度在大幅度增加，各種取證軟件和在不同平臺上的取證方法在很大程度上為取證人員提供了電子數據取證的更多可能性。

參考文獻

[1]仇學敏.計算機取證技術初探[J].電腦知識與技術，2014（32）：56-57.

[2]尹春社.對電子數據現場獲取存在問題的分析與探討[J].刑事技術，2008（3）：26-28.