下载文档原格式
计算机取证技术实验报告一、实验目的二、实验原理1.计算机文件的删除计算机文件的删除并不是真正的删除，而是将文件的存储空间标记为可重用状态。
通过合适的方法可以恢复已删除的文件。
2.隐藏文件计算机中的文件可以通过更改文件的属性来隐藏。
隐藏文件需要特殊的手段进行查找和恢复。
3.数据流计算机中的数据都是以数据流的形式存储的，可以通过分析数据流来获取有用的信息和证据。
4.元数据元数据是指记录文件属性和存储位置的数据，包括文件的创建时间、修改时间等信息。
通过分析元数据可以还原文件的使用轨迹。
三、实验步骤1.文件删除恢复实验首先，在计算机上创建一个包含敏感信息的文件，然后将其删除到回收站。
接下来，使用特定的恢复软件对回收站进行扫描，找回已删除的文件。
最后，验证恢复的文件是否包含原始的敏感信息。
2.隐藏文件实验在计算机上创建一个需要隐藏的文件，并将其属性设置为隐藏。
然后，通过查找隐藏文件的方法来寻找被隐藏的文件。
验证查找结果是否正确。
3.数据流分析实验在计算机上创建一个包含敏感信息的文件，并将其复制到不同的位置。
通过分析数据流，找到敏感文件的所有副本。
验证数据流分析的准确性。
4.元数据分析实验在计算机上创建一个包含敏感信息的文件，并对其进行不同的操作，如复制、重命名等。
通过分析文件的元数据，还原文件的使用过程。
验证元数据分析的有效性。
四、实验结果与分析本实验中，通过对文件删除恢复、隐藏文件、数据流分析和元数据分析的实验，成功地获取了敏感信息和相关证据。
实验结果表明，计算机取证技术是一种高效、可靠的方法，对于犯罪活动的调查和审判具有重要的意义。
五、实验总结本实验通过对计算机取证技术的实践，加深了对计算机取证技术原理和方法的理解和掌握。
计算机取证技术在现代社会中具有重要的应用价值，对于维护社会安全和网络安全起到了重要的作用。
通过本次实验，我对计算机取证技术有了更深入的了解，并对其在实际工作中的应用有了更清晰的认识。
电子证据实验报告电子证据实验报告随着信息技术的快速发展，电子证据在法律领域的重要性日益凸显。
电子证据是指以电子形式存在的信息，包括电子邮件、短信、社交媒体聊天记录、视频、音频等。
它们可以作为证据在法庭上使用，帮助解决各种纠纷和犯罪案件。
本实验报告将探讨电子证据的重要性、获取方法以及其在法庭上的可信度。
一、电子证据的重要性随着社会的进步和科技的发展，人们在日常生活中产生了大量的电子信息。
这些信息记录了我们的行为、言论和思想，成为了解一个人或事件的重要线索。
电子证据的重要性在于它们可以提供真实、可靠的信息，揭示真相，帮助法庭做出公正的判决。
与传统证据相比，电子证据具有以下优势：1. 数字化：电子证据以数字化的形式存在，可以轻松地存储、传输和复制。
这使得电子证据更加方便、高效，并且不易被篡改。
2. 多样性：电子证据的形式多种多样，可以是文字、图片、视频、音频等。
这种多样性使得电子证据能够更全面地呈现案件的真实情况。
3. 可追溯性：电子证据的生成和传输过程都可以被记录和追溯。
这意味着可以追踪证据的来源和完整性，确保证据的可信度。
二、电子证据的获取方法获取电子证据是一个复杂的过程，需要遵循一定的法律程序和技术手段。
以下是几种常见的电子证据获取方法：1. 数据备份：对于电子设备，如手机、电脑等，可以通过数据备份的方式获取其中的电子证据。
备份可以通过云存储、外部存储设备或专业软件来完成。
2. 数据恢复：当电子设备出现故障或被删除的情况下，可以通过数据恢复技术来获取丢失的电子证据。
这种技术需要专业的设备和技术人员来实施。
3. 网络监控：在网络上获取电子证据需要使用网络监控技术。
这包括监控网络流量、截取通信内容等手段。
然而，网络监控需要遵循法律规定，确保合法性和隐私保护。
4. 数字取证：数字取证是一种专业的技术手段，可以从电子设备中提取和分析电子证据。
数字取证需要专业的设备和技术人员，并且需要遵循一定的法律程序。
中学计算机考证实验报告实验名称：中学计算机考证实验实验目的：通过实践，掌握中学计算机考证的基本知识和技能，提高学生的计算机应用能力。
实验器材：计算机、计算机考试软件、实验报告模板、试题文档。
实验内容：1. 学习计算机考证的相关知识，包括考试内容、考试方式等。
2. 熟悉计算机考试软件的操作方法，包括登录、选择考试科目、进行模拟考试等。
3. 进行计算机考试的模拟操作，完成指定的考试试题，并记录考试成绩。
4. 分析考试成绩，总结考试经验，提出自我改进的方法。
实验步骤：1. 阅读与中学计算机考证相关的教材和资料，了解考试内容和考试方式。
2. 下载并安装计算机考试软件。
3. 运行计算机考试软件，登录账号。
4. 选择适合自己的考试科目和等级，进行模拟考试。
5. 完成一套模拟考试试题，记录考试成绩。
6. 分析考试成绩，找出自己的不足之处。
7. 总结考试经验，提出自我改进的方法。
实验结果：我选择了中学计算机考证的三个科目进行模拟考试，分别是Microsoft Word、Microsoft Excel和Microsoft PowerPoint，选取了相应的等级。
经过模拟考试，我在Microsoft Word科目中获得了80分，在Microsoft Excel 和Microsoft PowerPoint科目中分别获得了75分和85分。
通过分析考试成绩，我发现自己的不足之处主要在对于一些操作的熟悉程度不够高，有些功能的使用还需要更多的练习和了解。
在下一次的考试中，我打算通过多进行一些练习，熟悉更多的操作功能，并加强对于一些细节的注意，提高自己在这些科目上的得分。
实验结论：通过这次实验，我掌握了中学计算机考证的基本知识和技能，提高了自己的计算机应用能力。
通过反思和总结，我也发现了自己在考试中的不足之处，并提出了一些改进的方法。
中学计算机考证是一项非常实用和重要的能力的考核，通过参加类似的实验，学生可以提前熟悉考试内容和方式，并进行针对性的学习和提高，从而在实际考试中取得更好的成绩。
基于Windows的计算机取证技术研究与实现的开题报告一、选题随着计算机技术的普及和发展，计算机犯罪已成为一种全球性的问题。
计算机取证技术是一门通过对计算机存储媒介进行全面、深入的分析，以寻找、收集、保存、还原和展示涉案证据的技术，其应用已经成为打击犯罪的一个重要手段。
本课题旨在对基于Windows的计算机取证技术进行研究并实现相关技术，从而为打击计算机犯罪提供更加全面、深入的技术支持。
二、研究目标1、研究计算机取证技术相关知识。
2、研究Windows操作系统下的文件系统管理、进程管理、网络管理等相关知识。
3、实现基于Windows的计算机取证技术工具包，包括数据收集、数据提取、数据分析和数据报告等功能。
4、测试和评估工具包的功能性和实用性。
三、研究内容1、计算机取证技术相关知识研究。
深入研究计算机取证技术的概念、原理、分类、需求、技术体系和实现方式等方面的知识。
2、Windows操作系统相关知识研究。
研究Windows操作系统下的文件系统管理、进程管理、网络管理等相关知识，为后续的计算机取证技术研究奠定基础。
3、基于Windows的计算机取证技术工具包实现。
实现数据收集、数据提取、数据分析和数据报告等功能，实现一套安全、高效、稳定、易用的基于Windows的计算机取证技术工具包。
4、工具包测试和评估。
主要测试工具包的功能性和实用性，从而为进一步完善和改进工具包提供参考。
四、研究方法1、理论研究法。
通过文献资料和案例分析的方式，对计算机取证技术相关的理论知识进行研究和总结，为后续的工具包实现提供指导和支持。
2、实验研究法。
在Windows操作系统的基础上，通过实际的数据收集、数据提取、数据分析和数据报告等实验操作，对工具包进行测试和评估。
3、系统分析法。
对Windows操作系统下的文件系统管理、进程管理、网络管理等系统关键点进行分析，确定工具包实现的具体方案。
五、预期成果1、《基于Windows的计算机取证技术研究与实现》毕业论文。
实训项目报告1. 项目概述实训项目名称：HCIA(取证)实训实训项目时间：2022年3月1日-2022年4月1日实训项目地点：xx大学计算机实验室实训项目负责人：xx教授2. 项目背景随着信息技术的不断发展，网络安全问题日益突出，黑客入侵、数据泄露等事件频发，网络取证成为防御和打击网络犯罪的重要手段之一。
为提高学生在网络安全领域的实际应用能力，本项目旨在通过HCIA(取证)实训，培养学生在网络取证方面的专业技能。
3. 实训内容本次实训主要涉及以下内容：- 网络取证概述- 网络取证工具的使用- 取证技术的实际操作- 取证数据分析与呈现- 取证报告撰写4. 实训流程为了达到项目的预期目标，我们通过以下流程进行实训：4.1 授课和讲解：由xx教授进行网络取证知识的讲解和授课，包括取证概念、取证原理等内容。
4.2 实操训练：学生将针对实际案例进行网络取证工具的操作练习，包括取证数据的提取、分析和呈现等环节。
4.3 案例分析：学生将分析实际案例，进行取证分析和思考，提高实际操作能力。
4.4 取证报告：学生将结合实际案例完成取证报告的撰写，包括取证过程、分析结果和建议等内容。
5. 实训效果本次实训取得了较好的效果：- 学生掌握了网络取证的基本原理和实际操作技能，提高了对网络安全事件的识别和应对能力。
- 学生通过实际操作，加深了对网络取证工具的了解和掌握程度，提高了实际操作能力。
- 学生通过案例分析，加强了对实际问题的分析和解决能力，提高了综合应用能力。
6. 实训收获本次实训使学生在网络取证方面有了较大的收获：- 意识到网络安全的重要性，增强了网络安全意识和责任感。
- 掌握了一定的网络取证技能，为将来从事网络安全相关工作奠定了基础。
- 培养了团队合作能力和实际问题解决能力，提高了综合素质。
7. 后续计划为进一步提升学生的网络取证能力，我们将继续开展相关实训活动，结合更多实际案例和最新技术，不断优化实训内容，为学生的职业发展打下坚实基础。
摘要信息技术的不断发展给人们的生活带来了巨大的改变，网络已经越来越渗透到人们的现实生活与工作当中。
然而，网络在为人民生活和工作带来便利的同时，也引发了无数网络犯罪。
计算机静态取证便是针对网络犯罪而岀现的一种电子取证技术，而随着网络犯罪形式和手段的千变万化，计算机静态取证已不能满足打击网络犯罪的需求，为适应信息化发展的要求，建立安全网络环境和严厉打击网络犯罪行为势在必行，本论文针对计算机动态取证技术进行分析，主要浅谈电子动态取证采集系统的实现、网络证据收集和网络数据分析等几个方面。
通过对计算机取证基本概念、特点和技术的基础研究，对计算机动态取证进行分析。
关键词：电子取证动态取证动态电子证据采集网络数据协议目录、概述（一）、研究背景目前，人类社会已经迈入了网络时代，计算机与互联网已经与老百姓的日常工作、学习与工作息息相关，社会信息化对政治、经济、文化和科技等各项社会生活产生了深远的影响。
然而，网络技术给人类社会带来有利影响的同时，也带来了负面的影响。
在国外，1988年11月美国国防部的军用九三级网络遭受莫里斯病毒袭击，致使美国Internet 网络上6000多台计算机感染，直接经济损失9600万美元。
2000年5月，“爱虫”病毒通过电子邮件传播，在世界各地迅速蔓延，造成全世界空前的计算机系统破坏。
而在国内，人们利用计算机网络犯罪的案例也层出不穷。
2002 年，作案人吕薜文通过盗用他人账号，对中国公众多媒体通信网广州主机进行了攻击，并对其部分文件进行删除、修改、增加等一系列非法操作，造成严重后果。
2008年4月，作案人赵哲窜至上海某证券攻击营业部，利用该营业部电脑安全防范上的漏洞，修改该营业部部分股票交易数据，致使股价短时间内剧烈震荡。
计算机以及其他信息设备越来越多的被运用到犯罪活动中，尽管随着入侵检测系统的广泛使用降低了非法使用计算机资源所带来的损失，但网络犯罪依然不可忽视。
针对网络环境安全，本文旨在研究探讨网络开放环境下的电子证据的动态收集与分析。
电子取证本科实验报告实验名称：电子取证实验实验目的：1.熟悉电子取证的基本概念、原理和流程；2.掌握电子取证的常用工具和技术；3.学会通过电子取证手段获取和保护电子证据。
实验仪器与材料：1.取证计算机；2. 取证软件（如EnCase、Forensic Toolkit等）；3.存储介质（硬盘、U盘等）；4.写保护器。
实验步骤：1.准备工作：a.确认取证计算机的完整性，确保其中不存在其他程序或病毒；b.将写保护器连接至取证计算机的存储设备接口。
2.数据采集：a.启动取证计算机，并通过写保护器保护存储介质的完整性；b.使用取证软件对取证计算机的存储设备进行扫描，获取相关的电子数据；c.对扫描得到的数据进行分析，确定哪些数据是需要的证据。
3.数据整理：a.对采集到的证据数据进行整理和分类，并标记相关信息（如时间、地点等）；b.将整理后的证据数据保存至另一块存储介质，以防止原数据被篡改或删除。
4.数据分析：a.使用取证软件对保存的证据数据进行进一步的分析和解密；b.通过分析数据的元数据信息、文件属性等，获取更多有关案件的线索。
5.生成报告：a.根据分析结果，撰写电子取证报告；b.报告应包括案件概述、取证的过程和方法、分析结果、结论等内容。
实验注意事项：1.在取证过程中，保持现场数据的完整性和真实性，避免对数据进行修改或删除；2.在确保数据安全的前提下，保持原始数据的完整性，避免过度分析导致原始数据的破坏；3.在报告中应详细记录取证的每个步骤和所使用的工具、方法，以便他人能够复现实验结果；4.遵守电子取证的相关法律法规，确保取证过程合法合规。
实验结果与分析：通过该实验，我深入了解了电子取证的基本概念和原理。
在进行实验过程中，我成功地采集到了取证计算机的证据数据，并通过取证软件对数据进行了有效的分析和解密。
通过分析数据的元数据信息、文件属性等，我找到了与案件相关的线索和证据，进一步加深了对案件的理解。
最后，我按照实验要求撰写了电子取证报告，对整个取证过程进行了总结和分析。
实验一文件恢复FAT
在我的U盘新建一个图片imag0326.jpg，然后删除。
打开winhex，打开U盘根目录，找到文件imag0326.jpg，找到文件开头地址和结束地址。
找到文件开头地址
用计算器算出文件偏移地址，输入偏移地址，找到文件尾地址。
恢复文件。
回复出的文件。
实验结论
这次试验，我学会了用winhex恢复文件，但是当文件太大或U盘中文件太多时，恢复数据时可能会遇到一些意外的情况，导致不能恢复文件。
实验二内存取证
打开qq，输入一段聊天内容，发送。
打开winhex，打开内存。
找到qq相关内容，找到聊天内容所在区域。
恢复文件。
实验三IE取证用IE分析工具分析电脑中的IE浏览器的一些信息。
篇一：计算机取证技术实验报告windows平台逻辑层数据恢复一、实验目的：通过运用软件r-studio_5.0和winhex对误格式化的硬盘或者其他设备进行数据恢复，通过实验了解windows平台逻辑层误格式化数据恢复原理，能够深入理解并掌握数据恢复软件的使用方法，并能熟练运用这些软件对存储设备设备进行数据恢复。
二、实验要求：运用软件r-studio_5.0和winhex对电脑磁盘或者自己的u盘中的删除的数据文件进行恢复，对各种文件进行多次尝试，音频文件、系统文件、文档文件等，对简单删除和格式化的磁盘文件分别恢复，并检查和验证恢复结果，分析两个软件的数据恢复功能差异与优势，进一步熟悉存储介质数据修复和恢复方法及过程，提高自身的对存储介质逻辑层恢复技能。
三、实验环境和设备：（1）windows xp 或windows 2000 professional操作系统。
（2）原始硬盘（或u盘）一个，目标硬盘一个。
（3）或者可用u盘（或其他移动介质）和软件r-studio_5.0和winhex安装包。
四、实验内容：（1）熟悉r-studio的操作界面和该软件的使用，掌握该软件的数据恢复方法，并运用该软件按步骤对硬盘或优盘进行逻辑层数据恢复。
（2）熟悉winhex的操作界面和该软件的使用，掌握该软件的数据恢复方法，并运用该软件按步骤对硬盘或优盘进行逻辑层数据恢复。
（3）体会软件进行 windows平台逻辑层数据恢复的运行机制，并进行比较不同的数据恢复方法和原理。
五、实验步骤：（一）使用r-studio软件操作：1．数据恢复。
将要恢复文件的硬盘或者将要恢复文件的独立u盘连在计算机上，打开r-studio软件。
2．打开任意磁盘或者分区，右边显现文件有红色叉的表示删除的文件。
3．勾选该文件，“右击”选择“恢复标记文件”，设置文件输出路径，便可以恢复文件了。
4．点击某分区，右击选择“扫描”，进行“文件系统设置”选项设置后，点击“扫描”开始扫描磁盘5．双击“红色盘符”，然后双击“额外找到的文件”，就可看到此文件系统下的恢复文件 6．右击选择“恢复标记的内容”，设置恢复的路径，此路径不能在此次扫描的磁盘中。
一、实验背景随着信息技术的飞速发展，网络安全问题日益突出。
为了应对这一挑战，取证技术应运而生。
取证大师是一款集数据恢复、文件分析、系统监控等功能于一体的取证工具。
本实验旨在通过实际操作，掌握取证大师的基本使用方法，并对其功能进行深入探讨。
二、实验目的1. 熟悉取证大师的界面和功能模块。
2. 学习使用取证大师进行数据恢复和文件分析。
3. 了解取证大师在网络安全事件调查中的应用。
三、实验环境1. 操作系统：Windows 102. 取证大师版本：最新版3. 实验数据：模拟的实验数据包四、实验步骤1. 数据恢复- 打开取证大师，选择“数据恢复”模块。
- 选择需要恢复的数据存储设备，如硬盘、U盘等。
- 设置恢复参数，如文件类型、恢复深度等。
- 点击“开始恢复”按钮，等待恢复过程完成。
- 查看恢复结果，确认数据恢复成功。
2. 文件分析- 选择“文件分析”模块。
- 导入需要分析的文件或文件夹。
- 选择分析类型，如文件属性、文件内容等。
- 点击“开始分析”按钮，等待分析过程完成。
- 查看分析结果，了解文件的相关信息。
3. 系统监控- 选择“系统监控”模块。
- 设置监控参数，如监控对象、监控类型等。
- 启动监控，实时查看系统运行状态。
- 查看监控结果，分析系统异常情况。
五、实验结果与分析1. 数据恢复- 实验成功恢复了模拟数据包中的部分文件，验证了取证大师的数据恢复功能。
2. 文件分析- 实验成功分析了模拟数据包中的文件，获取了文件的相关信息，验证了取证大师的文件分析功能。
3. 系统监控- 实验成功监控了系统运行状态，发现了部分异常情况，验证了取证大师的系统监控功能。
六、实验结论1. 取证大师是一款功能强大的取证工具，能够满足网络安全事件调查的需求。
2. 取证大师的操作简单易懂，易于上手。
3. 取证大师在数据恢复、文件分析、系统监控等方面具有显著优势。
七、实验心得1. 取证技术在网络安全事件调查中具有重要作用，掌握取证工具的使用方法至关重要。
中南大学计算机取证技术实验报告学生姓名学院信息科学与工程学院专业班级完成时间目录1. 实验一事发现场收集易失性数据 (3)1.1 实验目的 (3)1.2 实验环境和设备 (3)1.3 实验内容和步骤 (3)2. 实验二磁盘数据映像备份 (8)2.1 实验目的 (8)2.2 实验环境和设备 (8)2.3 实验内容和步骤 (9)3. 实验三恢复已被删除的数据 (16)3.1 实验目的 (16)3.2 实验环境和设备 (16)3.3 实验内容和步骤 (16)4. 实验四进行网络监视和流量分析 (20)4.1 实验目的 (20)4.2 实验环境和设备 (20)4.3 实验内容和步骤 (20)5. 实验五分析Windows系统中隐藏的文件和Cache信息 (23)5.1 实验目的 (23)5.2 实验环境和设备 (24)5.3 实验内容和步骤 (24)6. 实验七数据解密 (28)6.1 实验目的 (28)6.2 实验环境和设备 (29)6.3 实验内容和步骤 (29)7.实验总结 (32)计算机取证技术1.实验一事发现场收集易失性数据1.1 实验目的1.会创建应急工具箱，并生成工具箱校验和；2.能对突发事件进行初步调查，做出适当的响应；3.能在最低限度地改变系统状态的情况下收集易失性数据。
1.2 实验环境和设备1.Windows XP 或 Windows 2000 Professional 操作系统；2.网络运行良好；3.一张可用的软盘（或U盘）和PsTools工具包。
1.3 实验内容和步骤1.创建应急工作盘，用命令md5sum创建工具盘上所有命令的校验和，生成文本文件commandsums.txt：2.用time和date命令记录现场计算机的系统时间和日期：3.用dir命令列出现场计算机系统上所有文件的目录清单，记录文件的大小、访问时间、修改时间和创建时间：4.用ipconfig命令获取现场计算机的IP地址、子网掩码、默认网关和网络接口信息：5.用netstat显示现场计算机的网络连接、路由表和网络接口信息：6.用PsLoggedOn命令查看当前哪些用户与系统保持着连接状态：7.用PsTools工具包中的PsList命令记录所有正在运行的进程和当前的连接：2.实验二磁盘数据映像备份2.1 实验目的1.理解什么是合格的司法鉴定备份文件，了解选用备份工具的要求；2.能用司法鉴定复制工具对磁盘数据进行备份；3.查看映像备份文件的内容，将文件执行hash计算，保证文件的完整性。
2.2 实验环境和设备1.Windows XP 或 Windows 2000 Professional 操作系统；2.网络运行良好；3.一张可用的软盘（或U盘）和外置USB硬盘。
2.3 实验内容和步骤1.制作MS-DOS引导盘，给硬盘或分区做映像时提供干净的操作系统。
在DOS提示符下键入以下命令来制作引导盘，并将引导盘写保护。
C:\format a:\ /s 或 C:\sys a:\软盘的根目录下至少应该有以下三个文件：IO.SYS，COMMAND和MSDOS.SYS。
2.下载ghost应用软件存放在A盘或其他盘上，但不要放在准备备份的硬盘或分区上。
在A盘上启动MS-DOS，找到ghost文件夹下ghost.exe文件，键入ghost回车。
3.使用ghost对磁盘数据进行映像备份，既可以对磁盘的某个分区进行备份，又可以对整个硬盘进行备份，还可以进行网络之间的映像备份。
（1）对磁盘的某个分区进行映像备份首先点击“Local”之后，会弹出三个子项：Disk：对整个硬盘进行备份。
Partition：对分区进行备份。
Check：检查备份文件。
选择“Partition”选项，进行磁盘分区备份，现又会弹出三个选项：To Partition：把一个分区完整地复制到另一个分区中。
To Image：把分区制作成一个映像文件存放。
From Image：回复映像文件。
选择“To Image”来制作映像文件，出现的界面是当前硬盘的选择窗口，选中需要备份的分区之后，再键入映像文件的保存路径和文件名。
接下来，系统会询问是采用No（无压缩）、Fast（快速压缩）还是High（高压缩率）中的方式备份，如果选择High模式后，稍等片刻，磁盘分区的映像文件生成了。
（2）对整个磁盘进行映像备份先将准备好的外置USB硬盘接到计算机上，再选择“Local”->“Disk”命令，接着确定目标硬盘（即接上的外置USB硬盘），此时可以对目标盘进行分区、格式化等操作。
最后，点击“Yes”按键开始备份，将现场计算机的硬盘完整复制到目标硬盘上。
要注意的是，现场计算机的硬盘不能太大，因为外置USB硬盘的容量一般有限，两者容量要相当，否则会导致复制出错。
（3）网络之间的映像备份网络之间的映像备份需要两台计算机，且处在同一个网络内部，一台是现场可疑或被攻击的计算机（主机），另一台是存放映像备份文件的计算机（备份机）。
首先选定“Master”（主机）或者“Slave”（备份机），如在被攻击的计算机上操作，需要将它硬盘中的内容备份到另一台计算机上的话，就要选择“Master”，出现一个列表菜单，确定了备份机机器名后，后面的步骤与前两组类似，接着可快速地进行网络上的备份了。
4.在备份好硬盘和分区之后，用“Check”选项对硬盘或者已经生成的备份文件进行检查，看看能否可能因分区、硬盘损坏等原因造成备份或者是映像文件复原的失败。
接着双击ghost文件夹下ghostexp文件图标，打开文件后，选择窗口中的“文件”菜单，打开恰年保存的备份映像文件，可以看到展开映像后所有的文件列表。
5.将映像文件执行hash运算，保证文件的完整性。
3.实验三恢复已被删除的数据3.1 实验目的1.理解文件存放的原理，懂得数据恢复的可能性。
2.了解几种常用的数据恢复软件如EasyRecovery和RecoverMyFiles。
3.使用其中的一种数据恢复软件、恢复已被删除的文件，恢复已被格式化磁盘上的数据。
3.2 实验环境和设备1.Windows XP 或 Windows 2000 Professional 操作系统；2.数据恢复安装软件；3.两张可用的软盘（或U盘）和一个安装有windows系统的硬盘。
3.3 实验内容和步骤1.使用EasyRecovery恢复已被删除的磁盘数据：图-删除之前图-EasyRecovery找到的文件图-有一个文件恢复失败，对中文文件名支持也不好2.使用EasyRecovery恢复已被格式化的磁盘数据：图-把之前的数据拷回去之后格式化U盘图-因为U盘太大，扫描耗时较多，就取消了，恢复步骤同上。
4.实验四进行网络监视和流量分析4.1 实验目的1.理解什么是网络证据，应该采取什么办法收集网络证据。
2.了解网络监视和跟踪的目的，会用WinDump进行网络监视和跟踪。
3.使用Ethereal软件分析数据包，查看二进制捕获文件，找出有效的证据。
4.2 实验环境和设备1.Windows XP或Windows 2000 Professional操作系统；2.网络运行良好；3.WinPcap、WinDump和Ethereal安装软件。
4.3 实验内容和步骤1.用WinDump和Ethereal模拟网络取证1——Telnet连接抓包：2.用WinDump和Ethereal模拟网络取证2——SYN泛洪攻击抓包：图-SYN泛洪攻击（上半部分为攻击者伪造的SYN包，下面为正常的SYN包） ARP协议下的数据包截取：对部分报文的报头的分析：5.实验五分析Windows系统中隐藏的文件和Cache信息5.1 实验目的1.学会使用取证分析工具查看Windows操作系统下的一些特殊文件，找出深深隐藏的证据；2.学会使用网络监控工具监视Internet缓存，进行取证分析。
5.2 实验环境和设备1.Windows Xp或Windows 2000 Professional操作系统。
2.Windows File Analyzer和CacheMonitor安装软件。
3.一张可用的软盘（或U盘）。
5.3 实验内容和步骤1.用Windows File Analyzer分析Windows系统下隐藏的文件。
Windows File Analyzer软件不需要安装，点击图标可直接进入应用程序窗口，分析Windows操作系统中一些特定的文件，以报告的形式打印出来。
（1）用Thumbnail Datebase Analyzer读出Thumbs.db文件。
打开Windows File Analyzer应用窗口，选择“File”->“Analyze Thumbnail”下拉式菜单，查看Thumbs.db的内容，通过Thumbs.db 得到此文件夹中所有的文件内容，导出其中的缩略图，包括那些有不健康内容的图片。
图 - 往里面加入了不健康的图片（2）用Index.dat Analyzer分析Index.dat文件。
图-用Prefetch Analyzer挖出Prefetch文件夹中存储的信息图-用Recycle Bin Analyzer打开隐藏的回收站，显示回收站中Info2文件信息图-用Shortcut Analyzer找出特定文件夹中的快捷方式，并显示存储在他们里面的数据2.用CacheMonitor监控Internet缓存。
3.用Windows File Analyzer和CacheMonitor进行取证分析（注：由于下载不到CacheMonitor软件，以上两个部分的实验无法完成！）。
6.实验七数据解密6.1 实验目的1)理解数据加密的原理，掌握常用的密码破解技术。
2)打开已被加密的现场可以计算机，找到有效的证据证据。
3)将犯罪嫌疑人的重要文件进行破解和分析。
6.2 实验环境和设备1)windows XP 或windows 2000 Professional操作系统。
2)一些常用密码破解工具。
3)网络运行良好。
6.3 实验内容和步骤（1）用工具软件Cmospwd破解CMOS密码。
（2）通过删除Windows安装目录下的*.pwl密码文件和Profiles 子目录下的文件，破解windows密码。
（3）用解密软件UZPC破解ZIP压缩包密码，CRACK破解RAR压缩包密码（4）使用破解工具Advanced Office XP Password Recovery破解word密码。
（5）用GetIp将代表口令的密码号还原成真实的口令。
（6）用网络嗅探器（如Wireshark），嗅探登陆和数据传输事件，捕获密码和敏感数据。
用工具软件Cmospwd破解CMOS密码：通过删除Windows安装目录下的*.pwl密码文件和Profiles子目录下的文件，破解windows密码：用解密软件UZPC破解ZIP压缩包密码，CRACK破解RAR压缩包密码。
