[发明专利]计算机取证方法及装置

权利要求书

1.一种计算机取证方法，其特征在于，包括：

将取证镜像文件挂载到电子设备的目标磁盘或目标分区，得到挂载镜像；

在所述电子设备中将所述挂载镜像仿真成虚拟机；

开启所述虚拟机，对所述虚拟机进行在线取证。

2.根据权利要求1所述的计算机取证方法，其特征在于，所述将取证镜像文件挂载到电子设备的目标磁盘或目标分区，包括：

将所述取证镜像文件基于目标挂载模式挂载到所述目标磁盘或目标分区；其中，所述目标挂载模式包括：虚拟写。

3.根据权利要求2所述的计算机取证方法，其特征在于，所述将所述取证镜像文件基于目标挂载模式挂载到所述目标磁盘或目标分区，包括：

调用目标镜像挂载工具将所述取证镜像文件基于目标挂载模式挂载到所述目标磁盘或目标分区。

4.根据权利要求1所述的计算机取证方法，其特征在于，所述在所述电子设备中将所述挂载镜像仿真成虚拟机，包括：

根据所述挂载镜像内的文件系统，确定镜像操作系统类型；

在所述电子设备中建立基于所述镜像操作系统类型的虚拟机；其中，所述虚拟机的虚拟磁盘使用所述目标磁盘或所述目标分区对应的物理磁盘。

5.根据权利要求4所述的计算机取证方法，其特征在于，所述在所述电子设备中建立基于所述镜像操作系统类型的虚拟机，包括：

调用目标虚拟化软件在所述电子设备中建立基于所述镜像操作系统类型的虚拟机。

6.根据权利要求1所述的计算机取证方法，其特征在于，所述开启所述虚拟机，包括：

执行针对所述虚拟机的开机操作；

在所述虚拟机的系统处于密码锁定的情况下，根据所述镜像操作系统类型确定目标解密方式；

基于所述目标解密方式对所述虚拟机的系统进行解密；

当解密成功时，登录所述虚拟机的系统。

7.一种计算机取证装置，其特征在于，包括：

挂载模块，用于将取证镜像文件挂载到电子设备的目标磁盘或目标分区，得到挂载镜像；

仿真模块，用于在所述电子设备中将所述挂载镜像仿真成虚拟机；

开启模块，用于开启所述虚拟机；

取证模块，用于对所述虚拟机进行在线取证。

8.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至6任一项所述计算机取证方法的步骤。

9.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至6任一项所述计算机取证方法的步骤。

10.一种计算机程序产品，包括计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至6任一项所述计算机取证方法的步骤。