實驗項目：計算機操作痕跡檢查姓名：葉凌云區(qū)隊：08信息警務區(qū)隊學號：0804448指導老師：項振茂實驗地點：3號機房實驗時間：2011年9月21日葉凌云的實驗報告一、實驗目的：鞏固計算機操作痕跡的基礎知識，進一步了解操作痕跡產生的原理。掌握文件時間屬性、計算機開關機時間、最近訪問的文檔、打開文件痕跡、上網歷史記錄、臨時文件夾、瀏覽器收藏夾等操作痕跡的一般方法。二、實驗要求：1、本實驗分小組進行，每小組2人。2、小組成員間互換計算機，互相檢查對方計算機操作系統(tǒng)。3、實驗內容要求在2課時內完成，以小組為單位完成一份實驗報告。實驗報告必須按附錄一的實驗報告格式進行撰寫，內容除本實驗所要求的實驗內容外，還必須包括本實驗的思考題。三、實驗器材：每人一臺計算機并接入互聯(lián)網。四、實驗內容：1、在計算機中建立幾個有內容的DOC、XLS、TXT、JPG文檔，并對每個文檔進行多次修改和訪問，然后查看并記錄每個文件的創(chuàng)建時間、修改時間、訪問時間，解釋各時間所代表的含義以及它們之間的相互關系。2、拷貝剛建立的文檔到另一盤中，檢查文件的時間屬性有無變化？分析什么時候已變化？什么時間不變化？并解釋其原因。3、分別采用縮略圖、平鋪、圖標、列表、詳細信息等方式檢查各類文件，檢查文件時間屬性的變化是否與查看方式有關？、4、瀏覽網上信息，打開3個以上網站和10個以上網頁。5、打開計算機中1—2個應用程序，如畫圖程序、QQ軟件。6、計算機開關機時間檢查，主要檢查系統(tǒng)日志ID為6005與6006的事件時間。7、小組成員互換計算機，相互檢查對方最近訪問的文檔。8、檢查對方曾經打開過的文件痕跡，主要檢查WINDOWS目錄下PREFETCH文件下的文件。9、檢查對方上網痕跡，主要檢查上網歷史記錄、收藏夾，臨時文件。五、實驗步驟和實驗結果：1、文件時間屬性檢查。在桌面新建WORD文檔“123”，右擊文件“123”，然后單擊“屬性”。（如圖1）圖（1） 2、計算機開關機時間檢查。打開控制面板—管理工具—事件查看器，點擊系統(tǒng)日志。然后打開來源為EVENTLOG，事件ID為6005的時間就是計算機的開機時間，事件ID為6006的時間則為計算機的關機時間。（如圖2、圖3、圖4）圖（2）圖（3）圖（4）3、最近訪問的文檔。在開始菜單—選擇文檔，就會顯示最近訪問的文檔。（如圖5）圖（5）4、打開文件痕跡。在WINDOWSXP及其以后的操作系統(tǒng)中，位于\WINDOWS\Prefetch文件夾中的文件包含應用程序的啟動時間和啟動位置信息。打開C盤—WINDOWS文件夾—找到Prefetch打開，然后任意選擇一個擴展名為PF的文件，右擊屬性（如圖5、圖6）圖（5）圖（6）5、上網歷史記錄的檢查。以“IE瀏覽器”為例，打開網頁，點擊“工具/INTERNET選項”，選擇常規(guī)標簽，在INTERNET臨時文件中點擊“設置”，然后打開“查看文件”。（如圖7、圖8、圖9）圖（7）圖（8）圖（9）6、臨時文件夾的檢查。當執(zhí)行過安裝軟件、下載、打開文檔等操作時，臨時文件夾中往往會留下相應文件。這些文件存儲在TEMP目錄中。具體位置一般在：C:\WINDOWS\TEMP或者C:\DOCUMENTSANDSETTINGS\用戶名LOCALSETTINGS\TEMP。7、瀏覽器收藏夾。以“IE瀏覽器”為例，點擊收藏夾，就能查看用戶的收藏網頁。（如圖10）圖（10）五、實驗總結：1、在文件時間查看過程中，發(fā)現(xiàn)FAT32分區(qū)下安裝的WINDOWS系統(tǒng)，訪問時間只有日期，沒有時間。還可以注意到NTFS的誤差時間是一個小時。2、一文件剛創(chuàng)建的時候，其創(chuàng)建時間、修改時間和訪問時間是一致的。在正常情況下，其創(chuàng)建時間、修改時間、訪問時間依次是從前到后。但也有例外，若將一文件從一臺計算機復制到你的計算機中，復制后的文件的創(chuàng)建時間就變成你的計算機的系統(tǒng)時間了，修改時間就早于創(chuàng)建時間。3、在查看計算機的開關機方法，若是windows默認情況下，“任務計劃程序服務”是自動開啟的，只要查看“任務計劃程序服務”的啟動和關閉，即可。查看方法就是打開C盤WINDOWS文件夾中的Schedlgu.txt，找出“任務計劃程序服務”啟動和關閉時間即可。通過計算機開關機檢查的學習，可以