取证分析与数据恢复技术详解

一、删除文件恢复技术

1.1 工具选择

• AXIOM取证工具：适用于恢复被删除的Word文档
• 其他可选工具：取证大师、火眼、盘古石（但AXIOM兼容性最佳）

1.2 AXIOM操作流程

1. 启动AXIOM.exe，等待初始化完成
2. 新建案例：
   • 填写案例编号（可任意）
   • 设置文件存储路径
3. 选择证据来源：
   • 默认选择Windows系统（除非题目特别说明）
4. 加载镜像文件：
   • 选择取证镜像
   • 连续点击"下一步"完成加载
5. 开始分析：
   • 点击"处理详情"启动分析
   • 注意：分析期间程序可能白屏或鼠标转圈，切勿操作避免崩溃
6. 分析完成后：
   • 自动启动AXIOMExamine.exe
   • 通过"使用痕迹"查找目标文档
   • 使用预览功能查看恢复的文件内容

二、加密驱动器解密技术

2.1 问题分析

• Web日志文件被存放在加密驱动器中
• 常规文件系统无法直接访问加密内容

2.2 解密工具尝试

1. VeraCrypt：

   • 尝试挂载加密驱动器
   • 需要密码（未知）

2. PasswareKitForensic：

   • 密码破解工具
   • 可尝试暴力破解但效率低

3. DiskGenius：

   • 无法直接打开加密驱动器

4. R-Studio：

   • 数据恢复工具，但对加密驱动器效果有限

5. FTK Imager：

   • 选择镜像文件
   • 选择"Block Device/Writable"选项
   • 使用"Mount"功能挂载
   • 挂载后可在本地盘符（如E盘）访问文件

2.3 关键文件定位

• 重点关注目录：
  • log文件：题目提示的Web日志
  • 内存.7z：可能包含解密密钥的内存转储

2.4 内存取证技术

2.4.1 工具准备

• Volatility：
  • Vol2（Python2版本）：插件丰富
  • Vol3（Python3版本）：运行速度快
  • 建议结合使用，Vol2为主

2.4.2 分析步骤

1. 确认系统信息：

   volatility -f memory.raw imageinfo
   

   • 典型结果：Win7SP1x64

2. 进程分析：

   volatility -f memory.raw --profile=Win7SP1x64 pslist
   

   • 查找TrueCrypt.exe进程（PID示例：628）

3. 内存转储：

   volatility -f memory.raw --profile=Win7SP1x64 memdump -p 628 -D output/
   

   • 生成628.dmp内存数据文件

2.4.3 使用Elcomsoft Forensic Disk Decryptor

1. 加载被加密的log文件
2. 加载628.dmp内存数据
3. 点击"Next"开始分析
4. 自动从内存转储中提取密钥数据
5. 保存解密密钥
6. 选择挂载选项，解密后的内容将出现在新盘符（如G盘）

三、关键知识点总结

1. 文件恢复：

   • 优先考虑专业取证工具链
   • AXIOM适合处理Windows系统删除文件恢复

2. 加密驱动器处理：

   • 当遇到加密容器时，内存取证是关键突破口
   • TrueCrypt加密的驱动器可通过内存中的密钥恢复

3. 工具组合：

   • FTK用于初步挂载和文件定位
   • Volatility用于内存取证
   • Elcomsoft用于最终解密

4. 效率提示：

   • 大文件处理需要耐心，避免操作中断
   • 系统版本识别准确可大幅提高分析效率

5. 日志分析：

   • 解密后的Web日志中直接查找可疑IP地址
   • 注意日志时间戳与攻击时间的对应关系