电子数据取证办案速查手册.pdf

电子数据取证办案速查手册 目录 第一章 速查手册概述 4 第二章 计算机犯罪现场勘察指南 5 一：保护现场5 1 禁止嫌疑人接触数字化设备5 2 防止嫌疑人采用隐蔽手段故意破坏证据5 3 防止调查人员无意中破坏证据6 4 防止正在运行的系统破坏证据6 二：搜查证物7 三：固定易丢失证据8 四：现场在线勘查11 五：提取证物12 第三章 取证步骤 15 第一步 —— 预览，并决定是否做进一步分析15 方案a: 原硬盘为IDE 硬盘，并且可拆离嫌疑机15 方案b: 原硬盘为SATA 硬盘，并且可拆离嫌疑机16 方案c: 原硬盘为笔记本硬盘，并且可拆离嫌疑机18 方案d: 原硬盘为SCSI 硬盘，并且可拆离嫌疑机19 方案e: 原硬盘不可拆、原硬盘为磁盘阵列、没有相应专用接口20 第二步 —— 获取24 第三步——克隆，制作一个和原硬盘内容相同的目标硬盘25 1 电子数据取证办案速查手册 现场a: 原硬盘为IDE 接口且方便拆卸26 现场b: 原硬盘为SCSI 接口且方便拆卸27 现场c: 原硬盘为SATA 接口且方便拆卸29 现场d: 原硬盘为笔记本硬盘且方便拆卸31 现场e: 原硬盘不方便拆卸33 现场f: 原硬盘为磁盘阵列34 附录：应用软件克隆的说明：34 第四章 开机BIOS 进入方法 40 4-1 台式机BIOS 进入方法40 4-2 常见笔记本开机BIOS 进入方法40 4-3 喇叭报警声及含义41 4-4 急救44 忘了口令怎么办？44 修复被CIH 破坏的主板46 第五章 Encase 使用速查 47 5-1 取证注意事项47 5-1.1 用EnCase 的启动盘启动计算机的步骤47 5-1.2 打印并口获取（预览）BIOS 设置方法48 5-1.3 获取时关闭计算机的节能功能，以防获取中断48 5-1.4 刚到现场时，应先对嫌疑机的机箱接线进行拍照，记录当时的接线情况48 5-1.5 对不同操作系统关机断电的方法48 5-1.6 在DOS 下进行获取时，用NTFS 格式分的区将无法获取48 5-1.7 获取RAIDS48 5-1.8 小型计算机接口系统（SCSI）驱动盘和DOS 52 2 电子数据取证办案速查手册 5-2 GREP 使用速查53 5-3 图标示意图55 5-4 中文对应表57 5-5 用命令与单词中英文对照表65 5-6 残留痕迹常见隐藏位置66 第六章 常见网络命令用法 70 6-1 Win9x 系统下70 6-2 Win2