18、数字取证与网络发现工具全解析

数字取证与网络发现工具全解析

1. 利用Autopsy 4进行目录分析与文件恢复

Autopsy 4是一款强大的工具，其界面简单直观，分为三个窗格：
- 左窗格：显示被检查和分析的数据源，以及Autopsy发现和恢复的所有目录和文件。
- 主窗格：展示数据源文件夹内发现的所有文件。
- 下窗格：显示文件详细信息，如十六进制、文本、文件元数据和数据工件。

在Autopsy界面中，我们可以查看所有分析过的文件。通过点击左窗格中“Data Sources”“File Views”和“Deleted Files”文件夹旁边的加号（+），能展开这些文件夹查看子目录。展开“Data Sources”项，可发现证据文件有两个卷，卷1是未分配空间，卷2是Windows 95 FAT32卷，进一步展开能看到孤立文件、未分配文件甚至已删除的文件夹。

Autopsy还对文件类型进行了分类，分为图像、视频、音频、存档和文档等子文件夹，这些文件夹可能包含发现的工件。例如，它发现了4992张图像、4个数据库和24个已删除文件。点击包含4992个文件的“Images”文件夹，右窗格会显示所有图像列表以及图像文件的修改、访问和创建时间。

查看已删除文件时，选择“Deleted Files”文件夹，再选择“File System”文件夹，主窗口会显示该文件夹内容，每个已删除文件旁边有红色X标记。点击已删除的“xpadvancedkeylogger.exe”文件，能看到其最后修改时间为2009 - 12 - 03 08:40 EST。

Autopsy的时间线功能也很实用，点击应用程序顶部的“Timeline”按钮，可按月份生成事件时间线。例如，点