| 摘要 | 第1-9页 |
| Abstract | 第9-11页 |
| 插图索引 | 第11-12页 |
| 第1章 绪论 | 第12-17页 |
| 1．1 研究背景 | 第12-13页 |
| 1．2 国内外研究现状 | 第13-15页 |
| 1．2．1 基础理论研究现状 | 第13页 |
| 1．2．2 取证技术研究现状 | 第13-14页 |
| 1．2．3 取证工具研究现状 | 第14-15页 |
| 1．3 本文的研究内容 | 第15页 |
| 1．4 本文的主要工作 | 第15-16页 |
| 1．5 论文结构 | 第16-17页 |
| 第2章 计算机取证分析 | 第17-26页 |
| 2．1 计算机取证的原则和过程 | 第17页 |
| 2．2 计算机取证的技术 | 第17-19页 |
| 2．2．1 计算机证据的发现技术 | 第17-18页 |
| 2．2．2 计算机证据的固定和提取技术 | 第18-19页 |
| 2．2．3 计算机证据的分析和表达技术 | 第19页 |
| 2．3 计算机取证的工具 | 第19-21页 |
| 2．3．1 硬件工具 | 第19-20页 |
| 2．3．2 软件工具 | 第20-21页 |
| 2．4 计算机取证的模式 | 第21-22页 |
| 2．5 现行动态取证方法研究 | 第22-25页 |
| 2．5．1 基于入侵检测技术的取证方法 | 第22-23页 |
| 2．5．2 基于蜜罐技术的取证方法 | 第23-24页 |
| 2．5．3 两种取证方法的优缺点 | 第24-25页 |
| 2．6 本章小结 | 第25-26页 |
| 第3章 电子证据动态获取系统设计 | 第26-33页 |
| 3．1 远程控制技术基础 | 第26-27页 |
| 3．2 电子证据动态获取系统工作原理 | 第27-31页 |
| 3．2．1 系统使用环境和拓扑结构 | 第27-28页 |
| 3．2．2 系统逻辑模型 | 第28-30页 |
| 3．2．3 系统提供的取证方式 | 第30-31页 |
| 3．3 系统的实现技术 | 第31-32页 |
| 3．4 系统特点 | 第32页 |
| 3．5 本章小结 | 第32-33页 |
| 第4章 取证代理隐藏及植入技术研究 | 第33-43页 |
| 4．1 文件隐藏技术 | 第33-35页 |
| 4．1．1 基于NtQueryDirectoryFile函数 | 第33-35页 |
| 4．1．2 基于NtVdmControl函数 | 第35页 |
| 4．2 进程隐藏技术 | 第35-36页 |
| 4．3 注册表隐藏技术 | 第36-38页 |
| 4．3．1 注册表键的隐藏 | 第36-37页 |
| 4．3．2 注册表键值的隐藏 | 第37-38页 |
| 4．4 进程访问权限的获取及进程挂钩 | 第38-39页 |
| 4．4．1 获取进程访问权限 | 第38页 |
| 4．4．2 进程挂钩 | 第38-39页 |
| 4．5 监控代理程序植入技术 | 第39-42页 |
| 4．5．1 缓冲区溢出原理 | 第39-40页 |
| 4．5．2 植入关键技术 | 第40-41页 |
| 4．5．3 代码植入 | 第41-42页 |
| 4．6 本章小结 | 第42-43页 |
| 第5章 电子证据动态获取系统实现 | 第43-64页 |
| 5．1 网络编程基础 | 第43-44页 |
| 5．2 系统使用的数据结构 | 第44-48页 |
| 5．3 被取证端代理软件的实现 | 第48-58页 |
| 5．3．1 自动加载 | 第48-50页 |
| 5．3．2 程序隐藏 | 第50-51页 |
| 5．3．3 信息采集 | 第51-52页 |
| 5．3．4 加密认证 | 第52-57页 |
| 5．3．5 隐蔽通信 | 第57-58页 |
| 5．4 取证监控端实现 | 第58-60页 |
| 5．5 系统测试和分析 | 第60-63页 |
| 5．5．1 实验测试环境 | 第60-61页 |
| 5．5．2 测试内容与性能分析 | 第61-63页 |
| 5．6 本章小结 | 第63-64页 |
| 结论 | 第64-66页 |
| 参考文献 | 第66-69页 |
| 致谢 | 第69-70页 |
| 附录A 攻读硕士期间发表的论文 | 第70页 |