[发明专利]计算机取证方法及装置

说明书

本发明提供一种计算机取证方法及装置，方法包括：将取证镜像文件挂载到电子设备的目标磁盘或目标分区，得到挂载镜像；在所述电子设备中将所述挂载镜像仿真成虚拟机；开启所述虚拟机，对所述虚拟机进行在线取证。本发明提供的计算机取证方法，能够还原取证镜像内操作系统的原始运行环境，取证过程直观明了，能够实现对病毒木马、恶意程序等内容的在线取证，提高取证效率。

技术领域

本发明涉及计算机技术领域，尤其涉及一种计算机取证方法及装置。

背景技术

随着计算机犯罪个案数字不断上升和犯罪手段的数字化，搜集电子证据的工作成为提供重要线索及破案的关键。恢复已被破坏的计算机数据及提供相关的电子资料证据的过程，被称为电子取证。

具体而言，电子取证是指利用计算机软硬件技术，以符合法律规范的方式对计算机入侵、破坏、欺诈、攻击等犯罪行为进行证据获取、保存、分析和出示的过程。从技术方面看，计算机犯罪取证是一个对受侵计算机系统进行扫描和破解，对入侵事件进行重建的过程。在电子取证领域，计算机取证占据了取证内容的很大一部分，比如个人终端计算机取证、服务器取证、云服务器取证等。

相关技术中，计算机取证方法主要是通过计算机取证软件或镜像挂载工具直接读取镜像内的文件。但是，相关技术中无法满足病毒木马、恶意程序等需要在线取证的需求，取证过程不够直观。

发明内容

针对相关技术存在的问题，本发明提供一种计算机取证方法及装置。

本发明提供一种计算机取证方法，包括：

将取证镜像文件挂载到电子设备的目标磁盘或目标分区，得到挂载镜像；

在所述电子设备中将所述挂载镜像仿真成虚拟机；

开启所述虚拟机，对所述虚拟机进行在线取证。

根据本发明提供的一种计算机取证方法，所述将取证镜像文件挂载到电子设备的目标磁盘或目标分区，包括：

将所述取证镜像文件基于目标挂载模式挂载到所述目标磁盘或目标分区；其中，所述目标挂载模式包括：虚拟写。

根据本发明提供的一种计算机取证方法，所述将所述取证镜像文件基于目标挂载模式挂载到所述目标磁盘或目标分区，包括：

调用目标镜像挂载工具将所述取证镜像文件基于目标挂载模式挂载到所述目标磁盘或目标分区。

根据本发明提供的一种计算机取证方法，所述在所述电子设备中将所述挂载镜像仿真成虚拟机，包括：

根据所述挂载镜像内的文件系统，确定镜像操作系统类型；

在所述电子设备中建立基于所述镜像操作系统类型的虚拟机，其中，所述虚拟机的虚拟磁盘使用所述目标磁盘或所述目标分区对应的物理磁盘。

根据本发明提供的一种计算机取证方法，所述在所述电子设备中建立基于所述镜像操作系统类型的虚拟机，包括：

调用目标虚拟化软件在所述电子设备中建立基于所述镜像操作系统类型的虚拟机。

根据本发明提供的一种计算机取证方法，所述开启所述虚拟机，包括：

执行针对所述虚拟机的开机操作；

在所述虚拟机的系统处于密码锁定的情况下，根据所述镜像操作系统类型确定目标解密方式；

基于所述目标解密方式对所述虚拟机的系统进行解密；

当解密成功时，登录所述虚拟机的系统。

本发明还提供一种计算机取证装置，包括：

挂载模块，用于将取证镜像文件挂载到电子设备的目标磁盘或目标分区，得到挂载镜像；