針對(duì)云存儲(chǔ)用戶端的數(shù)字取證關(guān)鍵技術(shù)研究.pdf

1、近年來，云計(jì)算技術(shù)得到了快速的發(fā)展與應(yīng)用，云計(jì)算服務(wù)越來越受到企業(yè)和個(gè)人的歡迎。云存儲(chǔ)是目前使用最廣泛的云計(jì)算服務(wù)之一。然而，云存儲(chǔ)服務(wù)在為用戶帶來便利的同時(shí)，也引發(fā)了一系列的安全問題，犯罪分子可能濫用云存儲(chǔ)服務(wù)來實(shí)施犯罪。因此，針對(duì)云存儲(chǔ)的數(shù)字取證技術(shù)研究具有重要意義。而云存儲(chǔ)用戶端設(shè)備上存在著用戶使用云存儲(chǔ)時(shí)留下的痕跡信息，對(duì)云存儲(chǔ)用戶端進(jìn)行取證能夠獲得大量有利于案件調(diào)查的證據(jù)信息。本文以百度網(wǎng)盤這一國內(nèi)主流的云存儲(chǔ)服務(wù)為例，研究了

2、針對(duì)云存儲(chǔ)用戶端的數(shù)字取證關(guān)鍵技術(shù)。本文主要的研究工作如下:
　　1.首先介紹了痕跡分析的方法，之后研究了在Windows7系統(tǒng)下使用百度網(wǎng)盤這一云存儲(chǔ)服務(wù)時(shí)留下的痕跡，分析了通過瀏覽器方式和百度網(wǎng)盤客戶端程序方式訪問并操作百度網(wǎng)盤時(shí)在磁盤上留下的痕跡，分析了痕跡的位置、痕跡文件的格式和內(nèi)容以及能夠從中提取的證據(jù)信息。分析發(fā)現(xiàn)，痕跡中包含用戶賬號(hào)、用戶操作記錄、操作時(shí)間、文件名、哈希值等重要信息，同時(shí)也發(fā)現(xiàn)客戶端程序的賬號(hào)信息文件

3、中的數(shù)據(jù)經(jīng)過加密存儲(chǔ)，需要研究從中獲取信息的方法。
　　2.針對(duì)百度網(wǎng)盤客戶端程序?qū)⒂脩糍~號(hào)密碼信息加密存儲(chǔ)在賬號(hào)信息文件中的情況，本文通過逆向分析技術(shù)對(duì)百度網(wǎng)盤客戶端程序進(jìn)行了逆向分析。首先介紹了逆向分析的基本方法，之后分析了百度網(wǎng)盤客戶端程序解密賬號(hào)信息文件的機(jī)制以及解密密鑰的生成方式，實(shí)現(xiàn)了對(duì)賬號(hào)信息文件中加密存儲(chǔ)的賬號(hào)密碼信息的解密和獲取。
　　3.針對(duì)痕跡文件中具有大量的SQLite數(shù)據(jù)庫文件的情況，本文在研究SQ

4、Lite數(shù)據(jù)庫文件結(jié)構(gòu)的基礎(chǔ)上，研究了恢復(fù)SQLite數(shù)據(jù)庫中已刪除數(shù)據(jù)的原理與方法，提出了一種基于特征匹配和SVM分類器的數(shù)據(jù)恢復(fù)方法，能夠針對(duì)已知的表進(jìn)行數(shù)據(jù)恢復(fù)。該方法首先根據(jù)數(shù)據(jù)庫文件結(jié)構(gòu)，從自由塊、自由頁以及所有頁面的未分配空間中獲取已刪除數(shù)據(jù)區(qū)域，然后使用特征匹配方法從獲取的已刪除數(shù)據(jù)區(qū)域中定位數(shù)據(jù)單元，最后使用基于SVM分類器的數(shù)據(jù)恢復(fù)方法從單元中恢復(fù)數(shù)據(jù)。該方法能夠有效提高數(shù)據(jù)恢復(fù)的恢復(fù)率與準(zhǔn)確率。
　　4.最后，