计算机取证实验报告

第一篇：计算机取证实验报告

《计算机取证技术》 实验报告

实验一

实验题目：

用应急工具箱收集易失性数据

实验目的：

（1）会创建应急工具箱，并生成工具箱校验和。

（2）能对突发事件进行初步调查，做出适当的响应。

（3）能在最低限度地改变系统状态的情况下收集易失性数据。

实验要求：（1）Windows XP 或Windows 2000 Professional操作系统。（2）网络运行良好。

（3）一张可用U盘（或其他移动介质）和PsTools工具包。

实验主要步骤：

（1）将常用的响应工具存入U盘，创建应急工具盘。应急工具盘中的常用工具有cmd.exe;netstat.exe;fport.exe;nslookup.exe;nbtstat.exe;arp.exe;md5sum.exe;netcat.exe;cryptcat.exe;ipconfig.exe;time.exe;date.exe等。

（2）用命令md5sum(可用fsum.exe替代)创建工具盘上所有命令的校验和，生成文本文件commandsums.txt保存到工具盘中，并将工具盘写保护。

（3）用time 和date命令记录现场计算机的系统时间和日期，第（4）、（5）、（6）、（7）和（8）步完成之后再运行一遍time 和date命令。

（4）用dir命令列出现场计算机系统上所有文件的目录清单，记录文件的大小、访问时间、修改时间和创建时间。

（5）用ipconfig命令获取现场计算机的IP地址、子网掩码、默认网关，用ipconfig/all命令获取更多有用的信息：如主机名、DNS服务器、节点类型、网络适配器的物理地址等。

（6）用netstat显示现场计算机的网络连接、路由表和网络接口信息，检查哪些端口是打开的，以及与这些监听端口的所有连接。

（7）用PsTools工具包中的PsLoggedOn命令查看当前哪些用户与系统保持着连接状态。（8）用PsTools工具包中的PsList命令记录当前所有正在运行的进程和当前的连接。

实验结果：

心得体会：计算机取证工具箱简单方便，无需安装，应急工具箱收集易失性数据，在计算机取证过程中对案发现场计算机的取证起着关键性的作用，用它可以找出计算机当时所处的状态，从而收集证据。对于取证人员来说，这个是非常关键的一步。

实验二

实验题目：用应急工具箱收集易失性数据

实验目的：

1.理解文件存放的原理，懂得数据恢复的可能性。

2.丁解几种常用的数据恢复软件如Easy Recovery和RecoveryMyFiles 3.使用其中一种数据恢复软件、恢复已被删除的文件，恢复己被格式化磁盘上的数据。

实验环境和设备：

(1)Windows Xp或Winfjows 2000 Professional操作系统。(2)数据恢复安装软件。

(3)两张可用的软盘（或U盘）和一个安装有Windows系统的硬盘。

实验主要步骤和实验结果：

实验前的准备工作

在安装数据恢复软件或其他软件之前，先在计算机的逻辑盘（如D盘）中创建四个属于你自己的文件夹，如：Bak F'ilel（存放第一张软盘上的备份文件）、LostFile1（存放恢复第一张软盘后得到的数据）BakFile2（存放第二张软盘上的备份文件）和LoFile2（存放恢复第二张软盘后得到的数据）注意：存放备份文件所在的逻辑盘（如D盘）与你准备安装软件所在的逻辑盘（如C盘）不要相同，因为如果相同，安装软件时可能正好把你的备份文件给覆盖掉了。(2)EasyRecovery安装和启动

这里选用Easy Recovery Professional软件作为恢复工具，点击Easy Recovery图标便可顺利安装，启动EasyRecovery应用程序，主界面上列出了Easy Recovery的所有功能：“磁盘诊断”、“数据恢复”、“文件修复”和“邮件修复”等功能按钮”在取证过程中用得最多的是“数据恢复”功能。

图 1 EasyRecovery安装和启动

图 2 EasyRecovery的数据恢复界面

(3)使用EasyRecovery恢复已被删除的文件。，①将准备好的软盘（或U盘）插入计算机中，删除上面的一部分文件和文件夹如果原有磁盘中没有文件和文件夹，可以先创建几个，备份到BakFilel文件夹下，再将它删除。②点击“数据恢复”，出现“高级恢复”、“删除恢复”、“格式化恢复”和“原始恢复”等按钮，选择“删除恢复”进行快速扫描，查找已删除的目录和文件，接着选择要搜索的驱动器和文件夹(A盘或U盘图标)。出现所有被删除的文件，选择要恢复的文件输入文件存放的路径D：LostFilel，点击“下一步”恢复完成，并生成删除恢复报告。

图 3 EasyRecovery选择恢复删除的磁盘

图 4 EasyRecovery扫描文件

图 5 EasyRecovery扫描结果

③比较BakFilel文件夹中删除过的文件与LoatFilel文件夹中恢复得到的文件，将比较结果记录下来。

图 6 查看需要恢复的文件

图 6 保存需要恢复的文件

心得体会:使用Easy Recovery恢复已被删除的文件非常管用，而且使用方便，通过这次实验学会了如何恢复不小心被删除的文件。也能对计算机存储介质有了进一步的认识。

实验三

实验题目：

分析Windows系统中隐藏的文件和Cache信息

实验目的：

学会使用取证分析工具查看Windows操作系统下的一些特殊文件，找出深深隐藏的证据。学会使用网络监控工具监视Internet缓存，进行取证分析。

实验要求：

Windows Xp 或 Windows 2000 Professional 操作系统 Windows File Analyzer 和 CacheMonitor 安装软件 一张可用的软盘（或u盘）

实验主要步骤：

用Windows File Analyzer分析Windows 系统下隐藏的文件。用CacheMonitor 监控Internet 缓存。

用Windows File Analyzer 和 CacheMonitor 进行取证分析。

实验结果：

软件界面

Index.dat Analyzer分析Index.dat文件

打开prefetch文件夹中存储的信息，打开结果，全部是.pf文件

Shortcut Analyzer找出桌面中的快捷方式，并显示存储在他们中的数据

CacheMonitor操作

心得体会：这个实验相对而言比较简单，只要会使用Windows File Analyzer，了解其功能和具体的使用方法，但是对其所得到的数据进行分析，还需要进一步的加强学习。

实验四

实验目的：

（1）在综合的取证、分析环境中建立案例和保存证据链。

（2）模拟算机取证的全过程，包括保护现场、获取证据，保存证据，分析证据，提取证据。

实验步骤和实验结果：

（1）用X-Ways Forensics的WinHex版本创建一个新的案例 new case，记录与计算机有关的的计算机媒体如硬盘，内存，USB，CD-ROM和其他有用的文件信息，结合实际案例结构，设计生产一个证据实体或证据源，生产案例报告单。

图创建镜像文件过程

操作结束，将生成TXT格式操作日志，包含如磁盘参数、MD5值等信息。（2）用X-Ways Forensics的WinHex版本对磁盘克隆，将生成的映像文件分步采集，生成RAW原始数据映像文件中的完整目录结构，删除某个文件，对该文件自动恢复，并确定文件类型，接着进行回复，生成删除回复报告。

扫描完成后可以看到被删除的文件如下图

文件已被恢复。（3）用X-Ways Captures将正在运行状态下计算机中的所有数据采集到外置USB硬盘中，如获取的内存数据被加密保护，在其中找出有价值的口令信息。

（4）用X-Ways Captures获取物理内存和虚拟内存中所有正在运行的进程，分析进程。（5）用X-Ways Trace对计算机中的浏览器上网记录信息，回收站的删除记录进行追踪和分析。

（6）将第（2），（3），（4）和（5）步中得到的数据信息和分析结果计算 hash 值后保存，再将数据信息和分析结果添加到第一步的案例管理中进行组合和分类，并且对其可信度进行检验，将有效的证据纳入最终的证据集。

心得体会：这个实验比较难，做这个实验最大的感触是计算机取证是一件需要很大的耐心和细心的事情，在实验指导书和自己的摸索下才会使用X-Ways Forensics，这个工具非常不错。

第二篇：计算机取证技术报告

计算机取证技术报告

今天下午专业老师给我们讲解了计算机取证技术的知识。以前我以为只有杀人等刑事案件要收集证据，原来计算机行业也跟法律息息相关。计算机在相关的犯罪案例中可以扮演人侵者的目标、作案的工具和犯罪信息的存储器这3种角色，计算机(连同它的外设)中都会留下大量与犯罪有关的数据。计算机取证就是对计算机犯罪证据的识别获取、传输、保存、分析和提交认证，它实质是一个详细扫描计算机系统以及重建入侵事件的过程。

计算机取证学属于计算机科学、刑事侦查学和法学的交叉学科，正日益受到各国和科研机构的重视和研究，随着计算机犯罪网络化和智能化，计算机取证方式由以前的静态取证，渐发展为动态取证。由于计算机取证是一门新的学科，很少有标准化和法院和行业之间的一致性。因此，尚未正式确认“科学”科，我们定义为结合的学科，计算机取证法律和计算机科学的元素，从计算机系统中的数据收集和分析，网络，无线通信，和存储设备的方式，是接纳为在法庭上的证据。

计算机取证的理论和软件工具是近年来计算机安全领域内取得的重大成就，然而我们从计算机取证的软件和工具的实现过程的分析中可以发现，当前计算机取证技术还存在着很大的局限性。从理论上讲，计算机取证人员能否找到犯罪证据取决于：有关犯罪证据必须没有覆盖；取证软件必须能找到这些证据；取证人员能知道这些文件，并且能证明它们与犯罪有关，从当前的软件实现情况来看，许多所谓的“取证分析”软件还仅仅是恢复使rm或 strip命令删除的文件。计算机取证所面临的问题是入侵者的犯罪手段和犯罪技术的变化：反取证技术、一些日志分析工具。

而取证技术随着黑客技术的提高而不断发证，为确保取证所需的有效法律证据，根据目前网络入侵和攻击手段以及未来黑客技术的发展趋势，以及计算机取证研究工作的不断深入和改善，计算机取证未来发展方向：（1）取证工具向智能化专业化和自动化方向发展，计算机取证技术涉及多方面知识，现在许多工作依赖于人工实现，大大降低取证速度和取证结果的可靠性。（2）取证工具和过程的标准化。目前，很多组织和机构都投入了人力对计算机取证进行研究。

计算机取证技术的相关法律不断趋于完善。我国有关计算机取证的研究与实践尚在起步阶段，只有一些法律法规涉及到了部分计算机证据，目前在法律界对电子证据作为诉公证据也存在一定的争议。取证技术的法律完善是一个亟待解决的问题。计算机取证是一个迅速成长的研究领域，它在国家安全、消费者保护和犯罪调查方面有着重要的应用前景。相信在这一领域的研究会向着深入和综合的方向不断前进，使计算机取证科学发挥更大的作用。

第三篇：计算机实验报告

课程：大学计算机基础 班级 ： ***** 学号：** 姓名：***组别： 同组者姓名： 仪器编号： 实验日期：

实验 windows 2000 操作[实验目的]1.掌握windows 2000的启动和退出。熟悉windows 2000的桌面环境，掌握“回收站”、任务栏、帮助菜单的使用。2.掌握windows 2000的窗口、菜单以及对话框的操作。掌握“资源管理器”和“我的电脑”的使用。3.掌握文件与文件夹的创建、移动、复制等基本操作。4.掌握应用程序的安装与删除、移动与退出，快捷方式的创建与删除。5.掌握windows 2000系统的设置，了解windows2000 附件的使用。[实验环境]硬件：pentium 以上的计算机。软件：windows2000 操作系统。[实验内容]

见附件[实验结果]1.建立了如下图所示目录树：d： user new1.cod a user2 b bbb new2.docbbb2.完成了“计算机”快捷方式的创建。3．完成了控制面板中显示、区域选项等属性的设置。实验指导教师（签名）实验成绩 实验报告批改日期： 实验内容：2．（1）打开b文件夹 选中bbb 单击右键后选择“复制”命令 打开user文件夹 在空白处单击右键后选择“粘贴”命令。（2）打开user文件夹 选中b 单击右键后选择“剪切”命令 打开a文件夹 在空白处单击右键后选择“粘贴”命令。（3）打开user文件夹 选中c 单击右键后选择“删除”命令。3．（1）单击“开始”按钮后选择“搜索/文件或文件夹”命令 在搜索对话框的文件名栏中输入“calc.exe” 单击“搜索”按钮 选中找到的程序 单击右键选择“发送到桌面快捷方式”。（2）选中桌面上的“calc.exe”快捷图标 右键单击后选择“重命名” 输入“计算器”。（3）选中桌面“计算器”快捷图标 按鼠标左键拖动到“开始”菜单的“程序”选项中。（4）选中桌面上的“计算器”快捷图标 按鼠标左键拖动到“回收站”图标上 在确认对话框中单击“是”。4．（1）打开“控制面板”窗口 双击显示器图标 单击“屏幕保护程序”选项卡 在“屏幕保护程序”下拉列表框中选择“滚动字幕” 单击设置按钮 出现的对话框分别做相应的设置 单击“应用”按钮 单击“确定”按钮。（2）打开“控制面板”窗口 双击显示器图标 单击“图案”按钮 在图案列表框中选择“clouds” 在“显示图片”列表框中选择“居中” 单击“应用” 单击“确定”。（3）打开“控制面板”窗口 双击“区域选项”图标 单击“货币”选项卡 在“货币符号”下拉列表框中选择“$” 在“货币正数格式”下拉列表框中选择“￥1.1” 在“货币负数格式”下拉列表框中选择“-￥1.1” 单击“应用”按钮 单击“确定”按钮。（4）打开“控制面板”窗口 双击“区域选项”图标 单击“数字”选项卡 在“小数点后面的位数”下拉列表框中选择“2” 在“数字分组符号”下拉列表框中选择“,” 在“组中数字个数”下拉列表框中选择“123,456,789” 单击“应用”按钮 单击“确定”按钮。（5）打开“控制面板”窗口 双击“区域选项”图标 单击“日期”选项卡 在“短日期格式”下拉列表框中选择“yy-mm-dd” 单击“应用”按钮 单击“确定”按钮。（6）单击“时间”选项卡 在“时间格式”下拉列表框中选择“hh:mm:ss” 在“上午格式”下拉列表框中选择“am” 在“下午格式”下拉列表框中选择“pm” 单击“应用”按钮 单击“确定”按钮。（7）打开“控制面板”窗口 双击“任务栏和开始菜单”图标 在“自动隐藏任务栏”单选按钮前打钩 去掉“显示时钟”单选按钮前的钩 单击“应用”按钮 单击“确定”按钮。5．（1）单击“开始”菜单 选择“程序/附件/画图”打开画图程序 按要求画一副风景图。（2）在“画图”窗口中单击“a”按钮 输入文字“这是我的家”（3）单击“文件/保存”菜单 在“文件名”文本框中输入“我的家 ”存盘（4）打开一副图片 按[alt]+[print screen] 打开“画图”程序 单击“文件/新建”菜单 在图纸的空白出单击右键选择“粘贴” 单击“文件/保存”菜单 在“文件名”文本框中输入“截图 ”存盘。

www.xiexiebang.com【xiexiebang.com范文网】

第四篇：计算机实验报告

计算机实验报告

课程名称：大学计算机基础。实验名称：演示文稿的操作。实验目的：通过上机实践操作，理解并掌握了演示文稿的创建及基本操作。实验仪器与器材：计算机，U盘。

实验内容：使用“欢天喜地”设计模板创建演示文稿。1‘第一张幻灯片应用“标题幻灯片”板式。2’设置标题为“祝您生日快乐”，字体为“楷体”，“加粗”，“倾斜”，“阴影”，字号为44，颜色为“红色”。3‘在第一张幻灯片的右下方插入一张来自文件的图片。4’插入第二张幻灯片，应用空白版式。5‘在第二张幻灯片插入艺术字“生日快乐”，字体为“宋体”，“加粗”，“倾斜”，字号为80，艺术字的形状为“波形2”，设定为“底部飞入”的动画效果。6’在艺术字下方插入一张剪贴画。

实验步骤：1‘双击POWERPOINT图标打开演示文稿。2‘在“新建演示文稿”任务窗格中单击“根据设计模板”链接，打开“幻灯片设计”任务窗格，单击“欢天喜地”模板，当前幻灯片默认使用标题版式。3’单击文本框输入“祝您生日快乐”，选定输入的文字，右键单击，选中下拉框中的“字体”，设置为“楷体”，字形为“加粗倾斜”，字号为44，勾选效果中的“阴影”，选定颜色下拉框中的“红色”。4‘执行“插入”|“图片”|“来自文件”命令，单击要应用的图片，并将图片拖拽到第一张幻灯片中的右下方。5’执行“插入”|“新幻灯片”，然后执行“格式”|“幻灯片版式”命令，选择“空白”版式。6‘在第二张幻灯片中执行“插入”|“图片”|“艺术字”命令，单击“波形2”艺术字形状，在编辑艺术框中输入“生日快乐”，选定字体为“宋体”，字号为80，“加粗”，“倾斜”，点击确定。右键单击艺术字，选定“自定义动画”，执行“添加效果”|“进入”|“飞入”|“方向”|“自底部”命令。7’执行“插入”|“图片”|“剪贴画”命令，在“剪贴画”窗格下单击“管理剪辑”，选定所应用的剪贴画，并将其拖拽到艺术字下方。8‘点击“保存”后，关闭演示文稿。实验结果及收获：完成了演示文稿的创建及操作，学会了演示文稿的基本应用。

第五篇：计算机实验报告范本

PowerPoint 2003演示文稿制作

1.实验性质：设计性实验

2.所属课程名称：大学计算机基础

3.实验计划学时：4

4.实验目的1)掌握PowerPoint 2003 的基本界面和文稿基本操作，掌握幻灯片编辑排版基本操作。

2)掌握设置动画和切换效果、设置幻灯片放映方式、超级链接和动作按钮的设置、幻灯片放映、页面设置和打印。

5.实验内容和要求

1)掌握演示文稿的编辑方法，包括文稿的多种创建方法，文稿的插入、移动、复制、删除操作方法。

2)掌握演示文稿的外观设计方法，包括设计模板的使用；应用配色方案；母版的使用。

3)掌握演示文稿中对象的编辑方法，包括文本对象、图片对象、表格对象、组织结构对象、图表对象等。

4)掌握演示文稿的动态控制方法，如动画效果的添加、超链接的创建、动作按钮的使用等。

5)掌握演示文稿的放映方法，如放映方式的设置、幻灯片切换效果的设置、幻灯片的放映和打印。

6.实验主要仪器设备

WindowsXP操作系统；PowerPoint2003

7.实验步骤

8.实验结果

[对实验结果进行总结：

1、是否按时完成实验；

2、是否得到正确结果；

3、有什么遗留问题尚待解决]

9.讨论和分析

[

1、讨论实验过程中所遇到的问题，寻求解决办法；

2、对本实验的各类型知识进行总结、归类]