计算机系统信息隐藏反取证技术①

2013 年 第 22 卷 第 5 期 计 算 机 系 统 应 用

计算机系统信息隐藏反取证技术①

李佟鸿, 王 宁, 刘志军

(湖北警官学院, 武汉 430032)

摘 要: 研究了现代计算机系统信息隐藏的各种可能方式. 运用 HPA 和 DCO 、隐藏分区等技术分析了磁盘驱动

的数据隐藏, 运用簇分配、Slack 空间等技术分析了 NTFS 文件系统的各种信息隐藏方法, 以及各种方法可能的检

测手段. 分析各种隐藏技术作为计算机反取证手段, 给计算机取证带来的巨大影响.

关键词: 信息隐藏; 反取证; 隐藏分区; 簇分配; Slack 空间; NTFS 文件系统

Data Hiding and Anti-Forensic on Modern Computer System

LI Tong-Hong, WANG Ning, LIU Zhi-Jun

(Hubei University of Police, Wuhan 430032, China)

Abstract: This paper discusses some of the possible ways to hide data on modern computer systems. Using HPA and

DCO, hidden partition and other technical analysis of the disk drive data hidden. Using the cluster distribution, Slack

space and so on technical discusses some of the methods that can be used to hide data in NTFS and analysis techniques

that can be used to detect and recover hidden data. The exploration of the different hiding technology can be used as

computer anti-forensics means, to the great impacts of computer forensics.

Key words: data hiding; anti-forensic; hidden partition; cluster distribution; Slack space; NTFS

1 引言 研究了现代计算机系统各种数据隐藏方法和策略, 以

随着计算机取证技术的发展, 计算机反取证(Com 及数据隐藏反取证技术对计算机取证造成的影响.

puter Anti-Forensic)技术也正悄然兴起, 反取证针对计

算机取证过程的各个阶段, 破坏电子证据的调查、保 2 计算机硬件信息隐藏

护、收集、分析和法庭诉讼, 减少被获取的证据数量, 2.1 HPA 和 DCO 数据隐藏

降低所获取证据的质量. 这对取证技术的发展形成了 (1) 主机保护区域 HPA

严峻的挑战. 在 ATA-5 协议被确立以后, 硬盘引入了主机保护

常见的反取证技术主要有数据擦除、数据隐藏、 区域(Host Protected Area 即HPA)技术, 通过用 ATA 命

数据加密、网络源反追踪、内核级Rootkit 、针对计算 令直接把硬盘后部的一块区域保护起来, 用于存储数

[2]

机取证工具缺陷