實(shí)驗(yàn)三、網(wǎng)絡(luò)取證

一、實(shí)驗(yàn)?zāi)康?/p>

1、學(xué)會使用網(wǎng)絡(luò)取證常用的工具；

2、了解熟悉網(wǎng)絡(luò)取證所要搜集的信息;

二、實(shí)驗(yàn)內(nèi)容

1、使用Cookies分析工具；

2、使用上網(wǎng)歷史記錄分析工具；

3、使用收藏夾工具；

4、使用搜索引擎關(guān)鍵詞分析工具;

5、使用網(wǎng)頁緩存分析工具；

6、使用網(wǎng)頁離線瀏覽器；

三、實(shí)驗(yàn)步驟

下載相應(yīng)的匚具，解壓并且安裝相應(yīng)的軟件。打開相應(yīng)的分析監(jiān)控工具，查

看相應(yīng)的瀏覽器信息，歷史記錄，收藏夾，搜索引擎關(guān)鍵詞，網(wǎng)頁緩存，網(wǎng)頁離

線瀏覽器。

四、實(shí)驗(yàn)操作內(nèi)容

（一）、瀏覽器取證

1、使用Cookies分析工具

使用cookies工具查看firefox瀏覽器的相關(guān)cookies信息，顯示界面如卜.圖

3-1所示，可以看到對應(yīng)網(wǎng)址的路徑，截至日期，安全屬性等信息，如圖中第二

行的網(wǎng)址”.#"，可以知道其接著日期為31年的11接日,非加密網(wǎng)址

?MZCookiesView:C:\Uiefs\REASON\ApplXatii\Ro4iming\Mozilla\Firefox\Profiles\xShn52hLdefMjh-releMe-1\cookie...—□X

AeEditViewHelp

㈢qxg。xtf-a

Domaan/Host/PathExpirationDateSecureDomainAccessGne/IDUstA

.

Ptl.2e4b93d1血.7988856109135>cOd<.prmutv.c.4/12022/1/61504221%13296RR

川1

/16S7Q

LJ*.360xn-/2022/17620：S2：4<No165802021

D?.360doc.co*n/2021/8>210(X00:17No129542021

□.360/2022/3/2008:2005No129552021

□?.360do<.com/WW08:2005No129602021

□?.51CtO.COE/2031及71奐51:11No96602021

口?.51cto.com/2021/8/92021:11No96612021

□?.51/2021/8/92021:12No96622021

O?.581oodxom/2022/2,621:3702No96202021

□#.713?0.com/2024/8八415:16:11No99722021

口?K/2022/4241&57：弘No147282021

口?A/2022n1/1816:57:3\No147312021

□?ax>d$?com/202印的3265以SNo136292021

□?^ccess.redh?tcom/2021/11/1116:34:35No135242021

Mi，c"V--

<>

6況Cocki”

圖3-1

#MZCookiesView:C:\Ui?f$\REASON\AppDAta\Roomfng\Mo7illa\Firefox\Profiles\xShn52hLdefMjh-release-1\cookie..."□X

AleEditViewHelp

々。心x(s鉀

ValueDomainAccessLine/IDLastAccessedCreatedTime

，■/>/<4C^V4.*)4

11BMObOKObBLUmwyAU28W?4HgWGUIQffllOftdTr5XO=165792021/11/62059:192021/11/62052:50

e1129542021/8/200620052021/3/2008^005

-10M88061”552021/8/20062cM)52021/8/20

lD=t95<1268d3?22X*7OMbOOM:T=16294188W:RY=_129602021/8/20064H)72021/8/20%2007

17f1057b2?174^1.bb19deb?46d60bH96602021/8/920KXX362021/8/919:51:11

-bd9e1ff451U7倍bdb>?5a0ed27bb”96612021/8/9208362021/8/919:51:11

...true96622021/8/9208362021/8/919:51:11

17b25fb29692d80d148)823fa8df-4c3f237d-144000-17b25ft>29”.96202021/8/821;37:O22021/B/S21:37X)2

9212589142e<?4Xb9217ddbfO499722021/8/1515:16:112021/8/1518&11

17cb184fbbK0”d966<2-36c1843f237d.i44000-17cb184fbb...147282021/10/2620:35242021/10/2416:57:34

lD=t8643204o462073We^55dbcc00?7:T=163506S85SAT=?147312021/10/262035242021/10/2416:57:36

2771312251026663000V10138292021/10/132053^62021/10/1320:53:46

78183753218J994M970191821165406566624135242021/10/1216:44282021/10/1216:34:36

,eJwNwt￡N9DAIBcBdOkGRtqDLfnEe6BeyHiXF3vdxT81Z5Lawo?0...93802021/6/192322:392021應(yīng)192322:39

?mid^33O116J492021/11/515X)0:112021/11/51500:11

g17597父246:202111W07I011fl印11206070011|2021J163502021/11/515X)0:11“21/11/51211

6%Coo—.1—X________________________________________________________________________________________________________

圖3-2

接著查看圖3-2中的信息，可以發(fā)現(xiàn)ID號為16579,最后一次的訪問時(shí)間

為21年的11月6日，創(chuàng)建時(shí)間也是當(dāng)天，比訪問時(shí)間早幾分鐘。還可以看到所

存的cookies值為"11BHObOKObBLLZmwyafbU28Wa4HgWGUKYfHOfkiTr5XO="

明顯是加密處理過的信息。具體信息如下所示：

Domain/Host:.#

Path:/

Name:—huid

Value:1lBHObOKObBLLZmwyafbU28Wa4HgWGUKYflIOfkiTr5XO=

ExpirationDate:2031/11/420:52:49

Secure:No

DomainAccess

Line/ID:16579

LastAccessed:2021/11/620:59:19

CreatedTime:2021/11/620:52:50

2、使用上網(wǎng)歷史記錄分析工具，如下圖3-3所示，可以看到瀏覽器的歷

史記錄，最新的瀏覽記錄便是今天4/25下午的一條記錄，瀏覽器的類型為IE瀏

覽器，訪問者為本電腦的登錄用戶“REASON”，查看下面可以發(fā)現(xiàn)還有一條是

google瀏覽器的記錄。

QBromgHalofyV*.

Fie(diiV?v*OptiomHHp

FH￡JM13舞

VUrtedMom\M00，甲”3??”BrowwcPic*

imemetlipknefRfASON

三

/Uw?VMA$O?(^)?.&22/W1M匕1MAVOH

■??〃尺/UwfVRtASOfiAJe.2022M/18”,5J1=WASOH

■快〃K/HVREASOege.2022^160942..1?ASON

?行?〃K/MVREASOegr2Ctf2/4/240916r..1三HWAVOH

d??7/K7U^<VMA40K/0.xua^iawgMAVOH

三

/Uwn/KfASOevD*.ZCVW2314443?hUA$ON

三

/U*?<VWASOe^.2022/4/231449..iMASON

?*〃KAben/MASOHQe.2O22M/231506-iWASON

d"〃KA>M<VRtASOn/DeMWkS.i三WASOH

三

.n?〃KAX?fVUA$0N^>?.XU2M/i60^U..iMMOH

KV2/V1519X)2..2UASOH

68“KVR￡ASOM/De.

2022/4/1819ta..29三WASOH

三

?“〃KAi/WASOHQe“22/SI160匚2WASON

0.〃K/Uien/KlA$O*VDeXU2M/161—1MAVOH

MAHOM

三H

.AW〃尺/UwtVKfASOH^..2022/4/241QQ1-3WA4ON

0fte//K人MetYRlASOege.2022/4/161801一2WASOH

三

?*〃KAMcVWASOegeXttZM/iG1755-.1REASON

三

■Z”K/U*n/MA$OW>eMZ/wmo4MAVOH

0~〃K/U^?VMASOK/O*.M2M小OMk.1tfAMX

.色初C/UwfVRiASOtVD*.2022/4/2116.ia-10K=IttASOH

.We〃KAMe<VWASOW>.202274/181809..3WASOH

■“〃K7V*<VWASOWK?2M/198?1：-1?AVOH

Ml*m(，)

圖3-3

IOK1〃

圖3-4

其相關(guān)屬性也可以點(diǎn)擊其屬性窗口一眼觀之，可以看到歷史文件所存在的位

置、記錄號、URL長度信息。

3、使用收藏夾工具：可以看到我在火狐瀏覽器上的一些收藏文件，具體的

URL地址，創(chuàng)建的日期和修改FI期信息。

□JFavo?wV?w:MoziM-CM>s?rsWASO^A<?pCUU\fto?v?ng>Mo2A4\Fire4a](\Pro6ln\i5hny2hlde<MArHe?i^-1\pUcnsqtote

|QE&ViewHdp

Mc^dDMe

Vt2O1M571MMI.<3<EAvidjKgi-V972-2O21/1CV?S1<k.Xi21"W2t1"L

2W1八c/aH2W1/WW14A.

l*pi/A>*O9<?KmV0q.Jei?7TO4/?rbci?7dmil.2021八0/2212iU2021/10/2212：L

co?vMih^l2799J*d2021/11“1323」2021/11/4112L

htt^/M?w〃biO9^4e?v^B??>Cvd0/p/1445151_2021/10/220?3-2O21/KV22McL

MpW/1279A1：8BJ4/?/w4a%40M?n/F202VW290fco4」2W1/S/29OMk

MtpWA^x?cKneVqVWTW/ertidtAkU^2021/10/MH)UM21/KV26HA.

Htp?y/Uo9x?ifin^Mw.4M6WMlkte/d-.2021/10/2^IteS-2021/1^2105-

7

□2P"ybe^QMV*?E?.2?卬190.2。-55JWMMW72W1/4/11??7

□MtpWAMMBb?du?o?vVMefc>p>>?mor**w.K.mVAHUM27M21/4H

Ri"H"

□2O21/4HH27

□mi”H2,

□202VV11JiMZ72021/4/1BM27

□2021/10T2409i0-2021/10/24ga.

□202VV111M272021/4/1113W7

□202W113272021/511M27

□2021/4/113cM272021/4/1113627

□2W1MH1kM272021/V112J627

2W1/AH1f272W1/4/11M?7

N?tefn(八

圖3-5

也可以選中一條信息，點(diǎn)擊鼠標(biāo)右鍵，查看其屬性，顯示如下圖3-6所示

PropertiesX

Title：CVE-2017-15715漏洞復(fù)現(xiàn)—大方子-CSDN博客_cve-20U-15715

URL：https://bloQ./nzjdsds/article/details/97248241

CreatedDate：2021/10/2814:34:05

Modified2021/10/2814:34:05

LastVisitN/A

FolderName：toolbar

FullPath：

IconFile：

|OK

圖3-6

4、使用下載歷史記錄分析工具：打開下載查看工具，可以看到用戶使用火

狐瀏覽器下載的歷史記錄，可以看到下載文件所在的位置，下載連接，下載的文

件名信息。

FirefoxDownloadsView—□X

KlcEditViewOptionsHelp

191囿心由旬也

[^eclipseinstjre.^http$://ftp.jaist.a:.jp/pub/eclipse/oomp...C:\Users\REASON\Pownloads\eclipse-i...https://www.eclipse.or...

mrobo3t-1.4.4-w^.http$y/download.studio3tcom/robom?.C:\U$ers\REASON\AppData\Loca^em...http$y/robomongo.or..<

<>

3Downloads.1SelectedNirSoftFreeware.http^/

圖3-7

也可以選中一條記錄，這里我選擇第一條，然后查看其屬性，如下圖3-8所

示，可以看到其開始時(shí)間“2021/11/1320:26:08”和結(jié)束時(shí)間“2021/11/1320:26:08”,

下載的ID為“4174”

PropertiesX

Filename：eclipse-inst-jre-win64.exe

URL：https://ftp.jaist.ac.jp/pub/eclipse/oomph/epp/2021-l

FullPathFilename：C:\Users\REASON\Downloads\eclipse-inst-jre-win6

Referrer：/downloads/download.php?

MIMEType：

DownloadedBytes：0

TotalBytes：0

StartTime：2021/11/1320:26:08

EndTime：2021/11/1320:26:08|

Duration：00:00:00.000

AverageSpeed：0.00KB/Sec

DownloadID：4174

Status：

OK

圖3-8

5、使用網(wǎng)頁緩存分析工具：使用IE瀏覽器的cache查看工具，如下圖3?9

所示，可以發(fā)現(xiàn)一些js文件和jpg文件和html文件，

QlECacheView:C:\U$efS\REASON\AppOata\Lo<AMicrosoh\Windows\WebCdche-□X

FileEditViewOptionsHelp

<f5XIVVQ的電由T*

Wwrame------------------Co