Windo ws注册表Hive文件恢复
[摘 要]注册表是Windows操作系统、各种硬件设备以及应用程序得以运行的核心“数据库”因此它记录着犯罪者进行犯罪的大量证据成为打击计算机犯罪非常重要的线索和证据来源。本文对H iv e文件的内部结构进行分析具体探讨操作系统中各种H ive文件并利用内部结构算法来恢复H ive文件。实验证明本文提出的方法在H ive文件恢复方面具有较高的准确性。
[关键词]计算机犯罪 注册表 文件恢复
1.引言
最近几年Windows注册表的取证分析技术逐渐成为计算机取证研究的重点之一。但是基于Windows注册表的取证分析技术还处于起步阶段大部分的研究主要集中在注册表的分析缺乏对注册表H iv e文件恢复的研究。 1999年Russ ino vic h在《注册表内部结构》中描述注册表的物理结构[1]。 2005年HarlanC arve y[2]提出了把注册表作为计算机取证的信息来源。2007年 Timo thy Morgan在文献[3]中提出的算法能够从H iv e文件中恢复出被删除的数据。对于操作频繁的Hive文件此算法恢复效果就不是很理想。 2008年 Jolanta Thomassen[4]在她的硕士毕业论文中深入浅出的介绍了H ive文件内部各组成部分的作用和原理并且改进了被删除注册表数据的恢复算法。 2008年 Brendan Do lan-Gavitt在文章[5]中详细说明了注册表存储在物理内存中的结构并开发了基于内存的注册表取证工具。
2.H ive文件介绍
Windows XP的注册表逻辑上是以树形结构组织。它由两个注册表子目录树组成 HKEY_LO CAL_M AC HIN E HKLM和HK EY_US ERS HKU。其实在物理上注册表信息存储在多个独立的二进制文件中这些文件被称为H iv e。表1.1介绍注册表路径对应的H ive文件及其相关文件。
1999年 Russ inovich首先描述Windows注册表Hive文件的的内部结构并且说明各个组成部分的相互关系。具体内部结构如图1.1所示。注册表H ive文件包含头部块Base block和HBINHive Bin。头部块和HBIN的大小都是4096字节的整数倍。注册表的第一个块被称为头部块在头部块后面是H iv e文件所有HBIN块每个HBIN包含一个HB IN头部和多个ce ll。头部块包含H ive文件的一些重要信息如魔幻数“re gf”、该H ive文件的名称、存储路径、修改日期和到根项的偏移量。HB IN头部包含魔幻数“hb in”、到第一个HB IN块的距离和该HB IN块的大小等信息。
图1.1 Hive文件内部结构
2.1分析
官方网站:点击访问青云互联活动官网优惠码:终身88折扣优惠码:WN789-2021香港测试IP:154.196.254美国测试IP:243.164.1活动方案:用户购买任意全区域云服务器月付以上享受免费更换IP服务;限美国区域云服务器凡是购买均可以提交工单定制天机防火墙高防御保护端口以及保护模式;香港区域购买季度、半年付、年付周期均可免费申请额外1IP;使用优惠码购买后续费周期终身同活动价,价格不...
华纳云(HNCloud Limited)是一家专业的全球数据中心基础服务提供商,总部在香港,隶属于香港联合通讯国际有限公司,拥有香港政府颁发的商业登记证明,保证用户的安全性和合规性。 华纳云是APNIC 和 ARIN 会员单位。主要提供香港和美国机房的VPS云服务器和独立服务器。商家支持支付宝、网银、Paypal付款。华纳云主要面向国内用户群,所以线路质量还是不错的,客户使用体验总体反响还是比较好...
这两天在站长群里看到不少有使用DEDECMS织梦程序的朋友比较着急,因为前两天有看到来自DEDECMS,我们熟悉的织梦程序官方发布的公告,将会在10月25日开始全面商业用途的使用DEDECMS内容管理程序的会采用授权收费模式,如果我们有在个人或者企业商业用途的,需要联系且得到授权才可以使用,否则后面会通过维权的方式。对于这个事情,我们可能有些站长经历过,比如字体、图片的版权。以及有一些国内的CMS...