计算机取证中的注册表信息挖掘参照.pdfVIP

学术. 技术 计算机取证中的注册表信息挖掘 尹 丹 （公安部第一研究所 电子数据取证与鉴定技术实验室，北京 100048 ） 摘 要 ：介绍了注册表的逻辑结构和物理存储方式，并对计算机取证中注册表信息的挖掘和解析技巧进行了阐述。 关键词 ：注册表 ；电子证据 ；计算机取证 The Registry Information Mining in Computer Forensics YIN Dan (Computer forensic Lab, First Research Institute of The Ministry of Public Security,BeiJing,100048,China) Abstract ：The logic structure and physicalstorage mannerof registry are introduced.The registry informationminingand analysisskill in computer forensics are illustrated, in particular. Key words ：registry; electronic evidence; computer forensics 1 引言 缩写和描述，见表 1。 表 1 根键名称、缩写和描述 注册表是 M i c r o so f t W i n d ow s 中的一个重要的 数据库，用于存储系统和应用程序的设置信息。早在 Windows 3.0 推出 OLE 技术的时候，注册表就已经出现。 随后推出的 Windows NT 是第一个从系统级别广泛使用 注册表的操作系统。但是，从 Microsoft Windows 95 开 注册表编辑器仅仅展示了注册表的逻辑结构。在物理 始，注册表才真正成为 W i n do w s 用户经常接触的内容， 上，注册表并不是存储于硬盘中的某一个单独文件中，而 并在其后的操作系统中继续沿用至今。 是存储于几个称为储巢 ( h i v e ) 的二进制文件中。注册表 注册表包含 W i n do w s 在运行期间不断引用的信息， 编辑器通过创建根键，将这些储巢文件在逻辑上链接在一 例如，系统上存在哪些硬件以及正在使用哪些端口、每个 起，构造出其显示的注册表结构。实际上，这五个根键中 用户的配置文件、计算机上安装的应用程序以及每个应用 只有 HKLM 和 HKU 两个根键是物理存储在储巢文件中 程序可以创建的文档类型、文件夹和应用程序图标的设置 的，其他三个根键都只是这两个根键中的某些子键的符 等。如果没有注册表，操作系统就无法获得必须的信息来 号链接， HKCU 是 HKU 的子键的符号链接。 HKCR 和 运行和控制附属的设备、应用程序及正确响应用户的输入。 HKCC 是 HKLM 的子键的符号链接。 因此，作为 Windows 操作系统的核心组成部分，注 W i n d o w s 为每一个储巢文件创建了附加的支持文 册表中往往蕴藏着大量的系统信息和用户信息，是重要的 件，用来备份各个储巢文件，以在系统引导失败时恢 取证来源。 复文件。逻辑视图中的注