首页
目录
简介
基于Windows 平台的取证
EnCase 第4 版的特性
EnCase 第4 版的新特性
EnCase 第4 版的增强
EnCase 第4 版提升了性能
EnCase 第4 版高级磁盘支持
标准EnCase 特性
最低推荐配置
安全密钥
并口安全密钥
USB 安全密钥
第一部分介绍EnCase
第1 章EnCase 第4 版新特性
1.1 增强的用户界面
1.2 Outlook PST 文件
1.3 时区支持
1.4 Unicode 支持
1.5 高级搜索算法
1.6 动态磁盘支持
1.7 NT 4.0 磁盘配置支持
1.8 NTFS 文件权限和所有权
1.9 NTFS 压缩
1.10 增强OLE 文件支持
1.11 过滤器和查询
1.12 增强的EnScript 界面
1.13 增强的Linux/Unix 文件系统处理
1.14 增强的Windows 注册表加载
第2 章安装EnCase
2.1 EnCase 的安装光盘及其自动运行
2.2 安装盘的安装菜单和内容
2.3 安装USB 安全密钥驱动程序
2.4 第四版EnCase 安装说明
2.5 软件升级更新
2.6 配置问题
2.7 安全密钥的问题
第二部分获取阶段
第3 章创建EnCase 启动盘
3.1 用EnCase 启动盘启动一台计算机
3.2 EnCase 网络启动盘(ENBD)
3.3 EnCase 启动盘相关问题
第4 章DOS 版EnCase
4.1 DOS 版EnCase 功能
第5 章预检和获取
5.1 关于预检的问题
5.2 获取中的问题
第6 章并口电缆获取
6.1 并口电缆获取
第7 章网络电缆获取方式
7.1 获得EnCase 网络启动盘(ENBD)
7.2 实施交叉网络电缆获取
第8 章“驱动器至驱动器”获取
8.1 驱动器结构问题
8.2 优点与缺点
8.3 一般步骤
8.4 获取Macintosh 计算机
8.5 获取UNIX
8.6 获取结束以后
第9 章FastBloc 获取
9.1 步骤
9.2 Windows 下不用FastBloc 获取
第10 章获取磁盘的配置
10.1 软件RAID
10.1.1 Windows NT:第四版EnCase 软件磁盘配置
10.1.2 动态磁盘
10.2 硬件磁盘配置
10.2.1 作为一个驱动器获取磁盘配置设备
10.2.2 作为单个驱动器获取磁盘配置
10.2.3 重建RAID 5
10.2.4 在RAID 5 上验证奇偶性
10.3 SCSI 设备和DOS
第11 章获取Palm PDA
11.1 说明:
11.2 退出控制台模式
11.3 关于Palm 最后的备注
第12 章获取可移动介质
12.1 Zip 盘
12.2 Jaz 盘
12.3 软盘
12.3.1 将软盘写保护
12.4 Superdisks(超级磁盘LS-120)
12.5 CD-ROM, CD-R, CD-RW
12.6 闪存
12.6.1 预检/获取闪存所需的设备
12.6.2 如何获取闪存卡
12.6.3 调查闪存
第三部分分析阶段
第13 章EnCase 导航
13.1 创建新案件
13.1.1 案件描述
13.1.2 检查员的姓名
13.1.3 默认输出文件夹
13.1.4 临时文件夹
13.2 案件管理
13.2.1 并发案件管理
13.3 选项对话框
13.3.1 全局选项
13.3.2 颜色选项
13.3.3 脚本(EnScripts)安全性
13.3.4 字体选项
13.4 在案件中添加证据文件
13.5 出错消息
13.6 添加“原始映像文件(Raw Imag Files)”
13.7 校验证据
13.8 新界面
13.9 EnCase 视图
13.9.1 “所有文件”按钮
13.10 案件
13.11 书签
13.12 设备
13.13 文件类型
13.14 文件特征
13.15 文件查看器
13.16 关键词
13.17 搜索结果
13.18 安全标识(Security IDs)
13.19 文本样式(Text Styles)
13.20 脚本(Scripts)
13.21 Hash 集(Hash Sets)
13.22 EnScript 类型
13.23 列表视图
13.24 列表视图中各列的说明
13.24.1 文件名(Name)
13.24.2 过滤器(Filter)
13.24.3 文件扩展名(File Ext)
13.24.4 文件类型(File Type)
13.24.5 文件类别(File Category)
13.24.6 文件特征(Signature)
13.24.7 描述(Description)
13.24.8 已删除(Is Deleted)
13.24.9 最后访问时间(Last Access)
13.24.10 文件创建时间(File Created)
13.24.11 最后写入时间(Last Written)
13.24.12 入口修改时间(Entry Modified)
13.24.13 逻辑大小(Logical Size)
13.24.14 物理大小(Physical Size)
13.24.15 开始区域(Start Extend)
13.24.16 证据文件(Evidence File)
13.24.17 文件标识符(File Identifier)
13.24.18 HASH 值(Hash Value)
13.24.19 Hash 集(Hash Set)
13.24.20 HASH 类(Hash Category)
13.24.21 全路径(Full path)
13.24.22 短文件名(Short name)
13.24.23 源路径(Original Path)
13.25 列的组织
13.25.1 重新排列(Rearranging Columns)
13.25.2 列复位(Resetting Columns)
13.25.3 隐藏和显示列
13.26 文件排序
13.27 表格图标说明
13.28 图片集视图
13.29 时间线视图(Timeline View)
13.30 报告视图(Report View)
13.31 子标签
13.31.1 “锁定”选择框
13.31.2 文本
13.31.3 十六进制
13.31.4 图片
13.31.5 磁盘
13.31.6 报告
13.31.7 过滤器
13.31.8 查询(混合过滤查询)
13.31.9 控制台
13.31.10 物理扇区/簇信息
13.32 操作中的最后注意事项
13.33 日期和时间问题
第14 章前期步骤
14.1 时区设置
14.2 恢复文件夹
14.2.1 恢复文件夹的背景
14.2.2 丢失的文件
14.3 初始化案件
14.4 特征分析
14.4.1 文件特征
14.4.2 添加一个新的文件特征
14.4.3 查看结果
14.5 HASH 分析
14.5.1 文件散列(File Hashing)
14.6 创建一个HASH 集
14.7 导入HASH 集
14.7.1 HashKeeper
14.7.2 NSRL HASH 集
14.7.3 从NSRL 参考数据集CD 引入HASH 集
14.8 重建HASH 库
14.9 HASH 分析的益处
14.9.1 开始HASH 分析
14.9.2 分析HASH 结果
14.10 运行脚本(EnScripts)
14.10.1 初始化案件
14.10.2 信息记录探测器
14.10.3 图形文件查找脚本
14.10.4 因特网历史脚本
14.10.5 链接分解器(Link Parser)
14.10.6 查找唯一邮件地址列表
第15 章查看文件
15.1 复制/反删除文件
15.1.1 选择文件
15.1.2 复制/反删除文件
15.2 复制/反删除书签
15.2.1 复制整个文件夹
15.3 在EnCase 外部查看文件
15.3.1 文件查看器
15.3.2 文件类型
15.4 有关文件的疑问
第16 章关键词搜索
16.1 输入关键词
16.1.1 搜索选项释义
16.2 国际化的关键词
16.3 导出/导入关键词
16.3.1 导出关键词
16.3.2 导入关键词
16.4 添加关键词列表
16.5 组织关键词
16.6 开始一次搜索
16.6.1 搜索选项
16.7 查看搜索结果
16.8 标记查询结果
16.9 “刷新”按钮
16.10 取消一次搜索
第17 章查看复合文件
17.1 注册表文件
17.2 OLE 文件
17.3 压缩文件
17.4 Outlook Express 5 邮件
17.5 MS Outlook E-mail
17.6 NTFS 压缩文件
第18 章脚本和过滤器
18.1 脚本路径
18.2 查看、编辑和编译脚本程序
18.3 脚本库
18.4 过滤器
18.4.1 访问过滤器
18.4.2 开始和停止过滤器
18.4.3 编写您自己的过滤器
18.5 查询
18.5.1 视图(View)标签
18.5.2 Include 标签
第19 章高级分析
19.1 恢复分区
19.1.1 添加分区
19.1.2 删除分区
19.1.3 从格式化的驱动器上恢复文件夹
19.2 网络浏览历史
19.3 读取目标计算机丢弃的内容
19.4 恢复E-mail
19.5 分析DriveSpace 卷
19.6 破解加密或口令保护的文件
第20 章外国语言支持(Unicode)
20.1 查看Unicode 文件
20.2 Unicode 字体
20.2.1 改变字体大小
20.2.2 字体推荐
20.3 查看非Unicode 和非英语文件
20.4 从右往左(RTL)阅读的语言
20.5 外语关键词搜索
20.5.1 复制和粘贴
20.5.2 字符映射表
20.5.3 区域设置
20.6 外语书签
20.6.1 更多信息
第四部分获取证据
第21 章证据恢复
21.1 目标(Target)介质的准备
21.2 物理恢复
21.2.1 物理上恢复一个驱动器,按以下步骤:
21.3 逻辑恢复
21.3.1 逻辑上恢复一个驱动器,按以下步骤:
21.4 启动“恢复”硬盘
21.5 恢复中会碰到的问题
第22 章证据归档
22.1 什么应当被存档
22.2 刻录完成之后
22.3 清洗
第五部分记录证据/报告
第23 章书签
23.1 认识书签
23.2 选中的数据书签
23.2.1 文本
23.2.2 图片
23.2.3 整数
23.2.4 日期
23.2.5 Windows
23.2.6 样式
23.3 注释书签
23.4 文件夹信息书签
23.5 值得注意的文件书签
23.6 文件组书签
第24 章报告
24.1 提交多个图像
24.2 报告输出
24.3 对介质中包含的所有文件和文件夹归档
24.4 提交搜索结果
第六部分附录
附录A:取证专业词汇
附录B:GREP
B.1 GREP 语法
B.2 GREP 的例子
附录C:第三方工具
C.1 Quick View Plus
C.2 IrfanView
C.3 AC/DSee
C.4 DBXtract
C.5 MBXtract
C.6 Decode Shell Extension
C.7 Disk Compare
C.8 Mailbag Assistant
C.9 PST Cracker
C.10 OST2PST
C.11 Gpart
C.12 CD-R Diagnostic
C.13 CompuPic Pro
C.14 Dir to Html
附录D:取证实验室
D.1 现场取证
D.2 实验室分析