简述计算机取证的技术及其过程

分析MS DOS 操作系统的演变过程及其与计算机硬件技术和操作系统技术的关系

MS DOS属于具代表性的单用户任务微机操作系统。1981年IBM公司首次推出了IBM-PC个人计算机（16位微机），在微机中采用了微软公司开发的MS-DOS(Disk

Operating System)操作系统，该系统在CP/M的基础上进行了较大的扩充，使其在功能上有很大的增强。1983年IBM推出了PC/AT（配有Intel80286芯片），相应地，微软又开发出MS-DOS2.0版本，它不仅能支持硬盘设备，还采用了树形目录结构的文件系统。1987年又宣布了MS-DOS3.3版本。从MS-DOS1.0到MS-DOS3.3为止的DOS版本都属于单用户单任务操作系统，内存被限制在640KB。从1989年到1993年又先后推出了多个MS-DOS版本，他们都可以配置在Intel 80386、80486等32位微机上。从20世纪80年代到90年代初，由于MS-DOS性能优越而受到当时用户的广泛欢迎 ，成为事实上的16位单用户单任务操作系统标准。

DOS采用汇编语言书写，因而，系统开销小，运行效率高；DOS针对微机环境来设计，因而实用性好，较好地满足了低档微机工作的需要。但是，随着微机性能的突飞猛进，DOS的缺点不断显露出来，已经无法发挥硬件的能力，由于缺乏对数据库、网络通信等的支持，没有通用的应用程序接口，加上用户界面不友善，操作使用不方便，现在已经逐步让位于Windows操作系统。

从用户的观点，OS可看做是其与计算机硬件系统之间的接口；从资源管理的观点看，则可把OS视为计算机系统资源的管理者。另外，OS实现了对计算机资源的抽象，隐藏了对硬件操作的细节，使用户能更方便的使用机器。

1.OS作为用户与计算机硬件系统之间接口的含义是：OS处于用户与计算机硬件系统之

间，用户通过OS来使用计算机系统。或者说，用户在OS帮助下，能够方便、快捷、安全、可靠地操纵计算机硬件和运行自己的程序。

简述计算机取证的步骤

计算机取证是指通过收集和分析数字证据，来获取与计算机相关的犯罪行为的证据。它是一项重要的技术，用于调查网络犯罪、数据泄露和计算机滥用等问题。下面将介绍计算机取证的主要步骤。

第一步：确定取证目标

在进行计算机取证之前，首先需要明确取证的目标。这可以是调查一个特定的犯罪行为，或者是查找特定的数字证据。明确取证目标有助于指导后续的取证工作，并提高取证的效率和准确性。

第二步：收集证据

收集证据是计算机取证的核心步骤。可以通过多种方式收集证据，包括镜像硬盘、复制文件、抓取网络数据包等。在收集证据时，需要确保采取的方法不会影响到原始数据的完整性和可靠性。另外，为了保证证据的可信度，应该详细记录每一步的操作过程，并保留相关的日志文件和报告。

第三步：分析证据

在收集完证据后，需要对其进行分析。这包括对收集到的文件、日志、网络数据包等进行深入研究和解读，以找出与取证目标相关的信息。在分析证据时，可以借助各种取证工具和技术，如数据恢复、关键字搜索、文件比对等。分析证据的过程中，需要保持严谨和客观，确保结论的准确性和可靠性。

第四步：提取证据

在分析证据的过程中，可能会发现一些与取证目标相关的信息。这些信息需要被提取出来，以供后续的调查和审核。提取证据的方式可以根据具体情况而定，可以是复制到外部存储设备，也可以是生成报告和摘要。无论采用何种方式，都需要确保提取的证据完整、可靠，并且符合法律和法规的要求。

第五步：制作取证报告

制作取证报告是计算机取证的最后一步。取证报告是对整个取证过程的总结和归纳，需要清晰、详细地记录取证的目标、过程、结果和结论。取证报告应该包括所有的关键信息和证据，以便于后续的调查和审查。同时，取证报告还应该遵循相关的法律和法规要求，确保其合法性和有效性。

计算机取证的主要步骤包括确定取证目标、收集证据、分析证据、提取证据和制作取证报告。这些步骤需要有专业的技术和方法支持，并且需要严格遵循法律和法规的要求。通过科学、规范的取证过程，可以有效地获取与计算机相关的犯罪行为的证据，为后续的调查和审判提供有力的支持。

摘 要

计算机取证及数据恢复技术包括两个部分，即计算机取证和数据恢复。电子证据既有法律方面的问题，也有技术方面的问题，本文就其子集“计算机取证”的技术体系进行研究和分析，指出了计算机取证的技术体系及其层次关系，为深入研究计算机取证提供了一个借鉴。社会信息化的发展给我们生活带来诸多便捷的同时，也给信息罪犯带来可乘之机。病毒、黑客、网络攻击的日益泛滥，计算机犯罪案件数量不断上升，搜集电子证据就成为提供重要线索及破案的关键。计算机取证是使用软件和工具提取和保护有关计算机犯罪的证据。数据恢复技术，是一门新兴的边缘学科，是技术性与实践性相结合的新技术，需要非常深厚的技术功底和实践经验，绝不是一种简单的流水线作业似的操作。数据恢复技术目的在于让人们学到如何把硬盘上被破坏的数据抢救回来、以及如何保护硬盘中的重要数据的方法。它同时要求人们通过各种手段来把丢失和遭到破坏的数据还原为正常的数据。

本文主要研究了计算机取证技术及数据恢复的基本原理，并通过一个具体实例演示了数据恢复的过程。

关键词：

计算机取证 : 计算机取证技术 恢复技术

目 录

第一章 绪论 ................................................................................................................................. 1

1.1计算机取证总论 .................................................................................................................. 1

1.1.1病毒的威胁 ................................................................................................................... 1

管理方略　王雪梅赵昕浅议计算机取证技术　

浅议计算机取证技术　王雪梅赵昕　（商丘职业技术学院河南商丘４７６０００）　摘要随着我国网络信息的高速发展和广泛普及，为犯罪分子提供了新的犯罪空间，目前利用计算机在互联　网上的犯罪行为越来越多，逐渐成为了人们日益关注的焦点，同时传统的办案模式和技术已经无法满足网络犯罪的　需求，因此计算机取证是打击计算机和网络犯罪的重要技术手段，通过利用计算机取证技术对于相关取证部门和　执法机关成为了将犯罪嫌疑人绳之以法的重要依据。本文将对计算机取证技术进行浅要地探讨。　关键词计算机犯罪手段计算机取证技术重要依据探讨　

计算机取证技术是针对目前新的计算机和网络犯罪手段一　项新的办案和取证技术，计算机取证技术主要是运用了计算机　辨析能力，对计算机和网络犯罪行为进行分析，以确定犯罪嫌疑　人和提供相关的计算机信息证据，成功将犯罪嫌疑人绳之以法。　由于计算机系统在运行过程中会产生的相应的犯罪记录的内　容，相关取证部门为证明案件真实性，提供了详细的犯罪分子的　电子证据。计算机取证技术目前被广泛应用于计算机犯罪、网络　入侵、盗用知识产权和网络欺骗等诸多领域中。　一、计算机取证过程中存在的问题　１．１由于我国的计算机取证技术起步较晚，目前该技术正处　于发展阶段，对计算取证技术还不成熟，存在较多的问题。其中　由于大多数的计算机取证过程一般是针对一些于特定的犯罪环　境来制定的，较为偏向对犯罪环境的重视，导致对新出现的计算　机和网络犯罪手段无法快速的制定合理地调查方案，缺乏计算　机取证的灵活性和高效性，无法结合其他的取证技术来形成统　一和健全的计算机取证的系统。同时目前我国还没有建立专门　的计算机取证机构，没有制定标准的取证制度和计算机取证工　作的操作规范，司法机构无法有效的对取证结果进行认证，导致　对于一些复杂的计算机和网络犯罪无法进行快速有效地取证和　追踪。　１．２计算机取证人员缺乏对电子数据和信息的认识，由于目　标计算机中获得的电子数据还有许多潜在的用途，如，可用于确　定犯罪嫌疑人的身份、地址和作案时间等，可作为法庭诉讼上的　有力的证据，可根据相关犯罪人员留下的信息对犯罪嫌疑人进　行网络追踪等一些通过获取的电子数据获取的信息。还在案件　发生后及时地保护犯罪现场，无法保证获取数据的真实性和完　整性。同时取证人员和受害人和企业缺乏计算机取证的意识，没　有及时有效地对犯罪分子留下的电子信息数据进行收集和追　踪，往往导致证据的缺失和不充分，无法将犯罪嫌疑人绳之以　法。　１．３对于计算取证是一项较为繁琐复杂的工作，因此如果计　算机取证技术和过程还不能达到标准化，取证人员很难准确有　效地对计算机和网络犯罪行为进行证据收集。对于许多计算机　取证技术还不够先进，在很多领域上还存在局限性，如对目标计　算机系统磁盘进行数据恢复技术，无法对原有的数据完整地获　取和收集，同时由于犯罪分子在使用计算机中常常对进行加密，　取证人员还缺乏有效地的解密技术。这些都严重制约了取证人　员对目标计算机中的电子数据进行获取，阻碍了对犯罪案件的　调查。　二、计算机取证技术　２．１由于计算机取证技术与传统的取证技术有很大程度区　别，我们需要首先制定科学合理的取证步骤和实施方案，对犯罪　分子在网络和计算机上的犯罪行为进行取证，成功获取详细的　犯罪信息。因此在发现网络犯罪情况后，尽快的对犯罪现场进行　保护和现场侦察，需求快速的去搜集获取相关证据，以确保网络　数据和记录的完整性和真实性。因此工作人员需要第一时间对　目标计算机网络系统进行封存，防止计算机系统受到系统设置　的更改、计算机硬件的损坏、电子数据和网络信息遭到破坏和病　毒入侵和感染等，对犯罪现场进行拍照存档，准确地绘制犯罪现　场模拟图。　２．２由于计算机中一般储存大量的电子信息，取证人员需要　在这些数据中寻找犯罪人员留下的犯罪活动和记录，来确定犯　罪记录的准确位置。然后通过磁盘镜像、数据恢复和解密等技术　来获取收集犯罪嫌疑人的作案电子证据。同时在获取全部的网　络信息和数据后，取证人员还需要通过相应的技术手段对获取　的证据进行鉴定，分析检查获取的电子数据是否遭到破坏和修　改等，来确保获取证据的真实性。　２．３在对计算机中电子数据获取完后，取证人员还需要对获　取的信息进行详细的研究分析，这是计算机取证过程中的关键　步骤，取证人员需要根据获取的电子数据这是计算机取证的核　合我国电子政务建设中、长期计划的规划、建设标准、程序和方　法做出合理决策的电子政务专门人才。　另外，在电子政务专门人才培养工作中，要采用结构化的培　养模式对电子政务建设各层次公务员进行培训。特别是对领导　决策层面的各级政府领导，应将培训重点放在对电子政务建设　的认识上，促使他们能够结合本地实际情况与对电子政务的实　际需要，设计符合本地实际的电子政务建设规划，成为我国电子　政务建设的推动者。