CN110232645B - 基于内存取证和区块链的电子证据固定和网络取证方法及系统 - Google Patents

Abstract

本发明公开了一种基于内存取证和区块链的电子证据固定和网络取证方法及系统，电子证据固定终端通过区块链网络下载可信的取证工具；验证取证工具执行代码合法性；运行取证工具，获取电子数据，并生成操作日志，同时采用内存取证技术获取计算机内存信息，进行证据固定；生成hash值，上传至区块链网络，并接收返回的对应的区块链地址；发送至司法鉴定机构终端；司法鉴定机构终端接收电子证据固定终端发送的区块链地址；查询区块链上的信息，验证合法性；采用内存取证技术分析内存信息，提取电子证据获取时系统状态，并验证相符性；采用内存分析验证取证工具运行时是否被hook或注入，并验证其运行环境可靠性；生成司法鉴定报告。

Description

基于内存取证和区块链的电子证据固定和网络取证方法及 系统

技术领域

本公开属于电子取证的技术领域，涉及一种基于内存取证和区块链的电子证据固定和网络取证方法及系统。

背景技术

本部分的陈述仅仅是提供了与本公开相关的背景技术信息，不必然构成在先技术。

现代信息技术给人们的工作和生活带来便利的同时，也不可避免地引发了各种负面问题，尤其是利用网络和信息而引发的各类犯罪行为呈现逐年增长的多发态势，诸如窃取国家机密、泄露个人隐私、盗窃网银密码、网络诈骗、黑客攻击之类的事件层出不穷，与之相关联的刑事、民事、行政案件或纠纷也大幅增长。为适应对这类案件或纠纷的诉讼需要，计算机取证(数字取证、电子取证)应运而生。

计算机取证是用计算机、通信、电子等相关学科中的原理和方法，按照符合法律规范的方式进行识别、保存、分析和提交电子证据的过程。计算机取证自在中国落地伊始，至今发展已有十几年，在实际工作中已经被政府执法部门、法律界从业者和广大执法人员认可。在商业领域，也有越来越多的企业开始重视应用计算机取证技术进行企业内部调查和IT审计。可以说，计算机取证技术是一个迅速发展的研究领域，有着良好的应用前景。特别是在2012年新的刑事诉讼法对“电子数据”的法律地位加以独立规定后，计算机取证技术的重要性显得更为突出。

计算机取证需要获取的对象是电子数据，电子证据不同于其他物证的一个重要特点是其脆弱性，主要表现在两个方面：一方面由于电子数据都是存储于磁介质或电子元器件中，而这些介质本身的一些特性使得电子数据容易被人为地损坏，因而对证据材料的保存就有十分严格的约束；另一方面电子数据可以很容易地被修改或删除，而这种操作往往是不可完全恢复的，即便可以恢复，也会对这些数据的证据有效性产生极大的影响。

电子证据只有遵循合法的流程、并能被证明其真实性才能被法院认可，特别是在线取证方式(在线取证Live Forensics是在不关闭目标计算机或电子设备的情况下，获得目标计算机内存、磁盘等存储介质中的电子数据，并进行分析呈现的取证方式)下，然而，发明人在研发过程中发现，由于各类网络上的数据及状态瞬间万变，使得如何证明所获得的电子证据的真实性变得非常困难。同时还存在着DNS欺骗、取证人员不可信等问题，因此现在只能依靠专业的电子证据司法鉴定机构和公证机构来获取这些证据。

如图1所示，显示了常规网络电子证据取证流程。由于电子数据易被篡改的特点，常规取证过程中的证据获取固定过程必须需要第三方机构(司法鉴定机构)进行，用户从收集证据(步骤1)到司法鉴定机构进行证据固定(步骤3)，需要经过与司法鉴定机构协商签订鉴定协议，委托司法鉴定机构进行司法鉴定(步骤2)，司法鉴定机构根据固定的电子证据进行司法鉴定(步骤4)，并给用户出具司法鉴定报告(步骤5)。在上述流程中步骤1到步骤3这个过程一般至少需要几天的时间，由于网络上或各类网络APP上的数据时刻在变化，当司法鉴定机构固定电子证据时，往往数据已发生了很大的变化，贻误了取证时机。此外，在委托司法鉴定机构进行证据固定时，由于当时还没有与律师或法院沟通，证据需求还不是非常明确，委托司法鉴定机构进行司法鉴定时往往具有一定的盲目性，会浪费一定的时间和金钱。

综上所述，常规网络电子证据取证流程由于取证不及时来带来了想获取的数据往往被删除等现实问题，需要一种更可信的方法来解决当前的取证问题。

发明内容

针对现有技术的不足，本公开的一个或多个实施例提供了一种基于内存取证和区块链的电子证据固定和网络取证方法及系统，使用计算机在线获取网页以及各类网络APP电子数据，利用内存取证技术、区块链技术和专门取证工具确保了电子数据获取来源、获取过程的可信，使得获取的电子证据难以篡改。

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的电子证据固定方法。

一种基于内存取证和区块链的电子证据固定方法，该方法包括：

通过区块链网络下载可信的取证工具；

与区块链网络交互，验证取证工具执行代码合法性；

运行取证工具，获取电子数据，并生成操作日志，同时采用内存取证技术获取计算机内存信息，进行证据固定；

分别将电子数据、操作日志和内存信息生成hash值，上传至区块链网络，并接收返回的对应的区块链地址。

进一步地，在该方法中，所述验证取证工具执行代码合法性为验证取证工具的执行代码未被修改过。

进一步地，该方法还包括：在需要对获得的电子证据进行鉴定时，将电子证据、内存信息和其对应的区块链地址发送至司法鉴定机构终端。

根据本公开的一个或多个实施例的一个方面，提供一种计算机可读存储介质。

一种计算机可读存储介质，其中存储有多条指令，所述指令适于由电子设备的处理器加载并执行所述的一种基于内存取证和区块链的电子证据固定方法。

根据本公开的一个或多个实施例的一个方面，提供一种电子设备。

一种电子设备，其包括处理器和计算机可读存储介质，处理器用于实现各指令；计算机可读存储介质用于存储多条指令，所述指令适于由处理器加载并执行所述的一种基于内存取证和区块链的电子证据固定方法。

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的电子证据固定终端。

一种基于内存取证和区块链的电子证据固定终端，基于所述的一种基于内存取证和区块链的电子证据固定方法，包括：

取证工具下载模块，被配置为通过区块链网络下载可信的取证工具；

合法性验证模块，被配置为与区块链网络交互，验证取证工具执行代码合法性；

证据固定模块，被配置为运行取证工具，获取电子数据，并生成操作日志，同时采用内存取证技术获取计算机内存信息，进行证据固定；

区块链上传模块，被配置为分别将电子数据、操作日志和内存信息生成hash值，上传至区块链网络，并接收返回的对应的区块链地址。

进一步地，该电子证据固定终端还包括通信模块，被配置为在需要对获得的电子证据进行鉴定时，将电子证据、内存信息和其对应的区块链地址发送至司法鉴定机构终端。

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的网络取证方法。

一种基于内存取证和区块链的网络取证方法，该方法在司法鉴定机构终端中实现，包括：

接收电子证据固定终端发送的区块链地址；

根据区块链地址查询区块链上的信息，验证电子数据、操作日志和内存信息的合法性；

验证通过后，采用内存取证技术分析内存信息，提取电子证据获取时系统状态，并验证系统状态与电子证据和操作日志的相符性；

采用内存分析验证取证工具运行时是否被hook或注入，并验证其运行环境可靠性；

生成司法鉴定报告。

进一步地，所述验证电子数据、操作日志和内存信息的合法性为验证电子数据、操作日志和内存信息未被修改过。

进一步地，该方法还包括：将司法鉴定报告发送至用户终端。

根据本公开的一个或多个实施例的一个方面，提供一种计算机可读存储介质。

一种计算机可读存储介质，其中存储有多条指令，所述指令适于由电子设备的处理器加载并执行所述的一种基于内存取证和区块链的网络取证方法。

根据本公开的一个或多个实施例的一个方面，提供一种电子设备。

一种电子设备，其包括处理器和计算机可读存储介质，处理器用于实现各指令；计算机可读存储介质用于存储多条指令，所述指令适于由处理器加载并执行所述的一种基于内存取证和区块链的网络取证方法。

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的网络取证终端。

一种基于内存取证和区块链的网络取证终端，基于所述的一种基于内存取证和区块链的网络取证方法，包括：

区块链地址接收模块，被配置为接收电子证据固定终端发送的区块链地址；

合法性验证模块，被配置为根据区块链地址查询区块链上的信息，验证电子数据、操作日志和内存信息的合法性；

第一鉴定模块，被配置为验证通过后，采用内存取证技术分析内存信息，提取电子证据获取时系统状态，并验证系统状态与电子证据和操作日志的相符性；

第二鉴定模块，被配置为采用内存分析验证取证工具运行时是否被hook或注入，并验证其运行环境可靠性；

报告生成模块，被配置为生成司法鉴定报告。

进一步地，该网络取证终端还包括通信模块，被配置为将司法鉴定报告发送至用户终端。

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的网络取证方法。

一种基于内存取证和区块链的网络取证方法，该方法在网络取证系统中实现，包括：

电子证据固定终端通过区块链网络下载可信的取证工具；与区块链网络交互，验证取证工具执行代码合法性；运行取证工具，获取电子数据，并生成操作日志，同时采用内存取证技术获取计算机内存信息，进行证据固定；分别将电子数据、操作日志和内存信息生成hash值，上传至区块链网络，并接收返回的对应的区块链地址；在需要对获得的电子证据进行鉴定时，将电子证据、内存信息和其对应的区块链地址发送至司法鉴定机构终端；

司法鉴定机构终端接收电子证据固定终端发送的区块链地址；根据区块链地址查询区块链上的信息，验证电子数据、操作日志和内存信息的合法性；验证通过后，采用内存取证技术分析内存信息，提取电子证据获取时系统状态，并验证系统状态与电子证据和操作日志的相符性；采用内存分析验证取证工具运行时是否被hook或注入，并验证其运行环境可靠性；生成司法鉴定报告。

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的网络取证系统。

一种基于内存取证和区块链的网络取证系统，基于所述的一种基于内存取证和区块链的网络取证方法，该系统包括：电子证据固定终端和司法鉴定机构终端；

所述电子证据固定终端，通过区块链网络下载可信的取证工具；与区块链网络交互，验证取证工具执行代码合法性；运行取证工具，获取电子数据，并生成操作日志，同时采用内存取证技术获取计算机内存信息，进行证据固定；分别将电子数据、操作日志和内存信息生成hash值，上传至区块链网络，并接收返回的对应的区块链地址；在需要对获得的电子证据进行鉴定时，将电子证据、内存信息和其对应的区块链地址发送至司法鉴定机构终端；

所述司法鉴定机构终端，接收电子证据固定终端发送的区块链地址；根据区块链地址查询区块链上的信息，验证电子数据、操作日志和内存信息的合法性；验证通过后，采用内存取证技术分析内存信息，提取电子证据获取时系统状态，并验证系统状态与电子证据和操作日志的相符性；采用内存分析验证取证工具运行时是否被hook或注入，并验证其运行环境可靠性；生成司法鉴定报告。

本公开的有益效果：

本公开提供的一种基于内存取证和区块链的电子证据固定和网络取证方法及系统，通过基于内存取证和区块链的电子证据固定方法，将电子证据固定前置，避免了取证时机延误问题；利用内存取证技术、区块链技术和专门取证工具确保了电子数据获取来源、获取过程的可信，使得获取的电子证据难以篡改，使得获得的证据更容易被法院采信。

附图说明

构成本申请的一部分的说明书附图用来提供对本申请的进一步理解，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。

图1是常规的执法取证流程示意图；

图2是根据一个或多个实施例的一种基于内存取证和区块链的电子证据固定方法流程图；

图3是根据一个或多个实施例的执法取证流程示意图；

图4是根据一个或多个实施例的一种基于内存取证和区块链的网络取证方法流程图；

图5是根据一个或多个实施例的另一种基于内存取证和区块链的网络取证方法流程图。

具体实施方式：

下面将结合本公开的一个或多个实施例中的附图，对本公开的一个或多个实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本公开的一个或多个实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

应该指出，以下详细说明都是例示性的，旨在对本申请提供进一步的说明。除非另有指明，本实施例使用的所有技术和科学术语具有与本申请所属技术领域的普通技术人员通常理解的相同含义。

需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本申请的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

需要注意的是，附图中的流程图和框图示出了根据本公开的各种实施例的方法和系统的可能实现的体系架构、功能和操作。应当注意，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，所述模块、程序段、或代码的一部分可以包括一个或多个用于实现各个实施例中所规定的逻辑功能的可执行指令。也应当注意，在有些作为备选的实现中，方框中所标注的功能也可以按照不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，或者它们有时也可以按照相反的顺序执行，这取决于所涉及的功能。同样应当注意的是，流程图和/或框图中的每个方框、以及流程图和/或框图中的方框的组合，可以使用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以使用专用硬件与计算机指令的组合来实现。

在不冲突的情况下，本公开中的实施例及实施例中的特征可以相互组合，下面结合附图与实施例对本公开作进一步说明。

实施例一

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的电子证据固定和网络取证方法。

如图2所示，根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的电子证据固定方法。

一种基于内存取证和区块链的电子证据固定方法，该方法包括：

S101:通过区块链网络下载可信的取证工具；

S102:与区块链网络交互，验证取证工具执行代码合法性；

S103:运行取证工具，获取电子数据，并生成操作日志，同时采用内存取证技术获取计算机内存信息，进行证据固定；

S104:分别将电子数据、操作日志和内存信息生成hash值，上传至区块链网络，并接收返回的对应的区块链地址。

在本实施例的步骤S101中，获取从区块链网络上下载专门的取证工具；在计算机上从区块链网络下载可信的专用取证工具，运行取证工具。本公开中的取证工具均采用现有计算机取证工具，在计算机取证过程中，可采用但不限于常见的Tcpdump、Argus、NFR、Tcpwrapper、Sniffers、Honeypot，Tripwires、Network monitor，磁盘镜像、网页固定、内存获取/分析等取证工具。

在本实施例的步骤S102中，取证工具运行前与区块链交互，所述验证取证工具执行代码合法性为验证取证工具的执行代码未被修改过。

在本实施例的步骤S103和S104中，具体步骤包括：

利用该取证工具获取网页信息和各类APP的电子数据，进行证据固定，并对每一步操作及操作结果生成审计日志，对固定的证据及其日志使用hash函数生成hash值，根据取证需求，将hash值/固定的证据/审计日志上传给区块链网络。

进行以下步骤的同时，利用内存取证技术获取计算机内存信息，进行证据固定，并将内存信息的hash值上传给区块链网络。

内存取证技术(Memory Forensics)：对计算机及相关智能设备运行时的物理内存中存储的临时数据进行获取与分析，提取有价值的数据。内存是操作系统及各种软件交换数据的区域，数据易丢失(Volatile)，通常在关机后数据很快就消失。在本实施例中采用本申请人先前申请的Windows/Linux系统内存取证方法来获取和分析计算机内存信息。

具体的，在本实施例的步骤S103中，运行取证工具，

1)运行网页固定取证工具，获取网页或各类APP信息、各类运行环境信息等电子证据；

2)运行任意取证工具，对获取过程生成操作日志；

3)运行内存获取取证工具，获取计算机内存镜像信息。

在本实施例的步骤S104中，取证工具使用hash函数，分别对获取的电子证据、操作日志及内存镜像信息生成hash值，将证据的hash值、操作日志及其hash值、内存镜像信息的hash值，上传至区块链中。区块链将区块链地址回传给取证工具。

进一步地，该方法还包括：在需要对获得的电子证据进行鉴定时，将电子证据、内存信息和其对应的区块链地址发送至司法鉴定机构终端。

在本公开的一个或多个实施例中，用户如果需要该证据，则将固定的证据提供给司法鉴定机构，司法鉴定机构根据电子证据以及区块链的信息进行司法鉴定：利用内存取证技术取保证据获取过程中系统没有被非法入侵，并排除其他可能影响证据真实性的行为，利用区块链技术确保整个过程的数据没有修改过。司法鉴定机构根据鉴定结果出具司法鉴定报告。

如图3所述，本公开的一个或多个实施例将原来网络数据的取证流程的“证据的固定环节”由原来必须由第三方机构来做的工作，变为可由任何个人或单位来做，即，由原来的流程“查找电子证据-委托第三方进行司法固定服务和鉴定服务-第三方进行证据固定-第三方进行司法坚定并出具司法鉴定报告”变为“查找电子证据-证据固定服务-委托第三方进行司法鉴定-第三方进行司法鉴定并出具司法鉴定报告”。

本公开的一个或多个实施例避免了取证时机延误问题。由于当前的网络数据取证方法不可信，只能由司法鉴定机构或公证机构来进行证据固定。由于发现电子证据线索到委托第三方机构来进行证据固定，之间需要进行业务委托(包括价格商谈，双方盖章)、业务安排、证据固定等阶段，需要一段时间，而网站数据和社交APP的数据变化迅速，往往会造成取证时，要取证的数据已被修改，无法获得所需的证据。

节省了费用，由于证据固定可由任何个人或单位来做，不需要第三方机构来做，显然节省了大量的证据固定费用。

获取方法更为可信，使得获得的证据更容易被法院采信。

实施例二

根据本公开的一个或多个实施例的一个方面，提供一种计算机可读存储介质。

一种计算机可读存储介质，其中存储有多条指令，所述指令适于由电子设备的处理器加载并执行所述的一种基于内存取证和区块链的电子证据固定方法。

实施例三

根据本公开的一个或多个实施例的一个方面，提供一种电子设备。

一种电子设备，其包括处理器和计算机可读存储介质，处理器用于实现各指令；计算机可读存储介质用于存储多条指令，所述指令适于由处理器加载并执行所述的一种基于内存取证和区块链的电子证据固定方法。

这些计算机可执行指令在设备中运行时使得该设备执行根据本公开中的各个实施例所描述的方法或过程。

在本实施例中，计算机程序产品可以包括计算机可读存储介质，其上载有用于执行本公开的各个方面的计算机可读程序指令。计算机可读存储介质可以是可以保持和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质例如可以是――但不限于――电存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式压缩盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、机械编码设备、例如其上存储有指令的打孔卡或凹槽内凸起结构、以及上述的任意合适的组合。这里所使用的计算机可读存储介质不被解释为瞬时信号本身，诸如无线电波或者其他自由传播的电磁波、通过波导或其他传输媒介传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。

本文所描述的计算机可读程序指令可以从计算机可读存储介质下载到各个计算/处理设备，或者通过网络、例如因特网、局域网、广域网和/或无线网下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光纤传输、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或者网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令，以供存储在各个计算/处理设备中的计算机可读存储介质中。

用于执行本公开内容操作的计算机程序指令可以是汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或者以一种或多种编程语言的任意组合编写的源代码或目标代码，所述编程语言包括面向对象的编程语言—诸如C++等，以及常规的过程式编程语言—诸如“C”语言或类似的编程语言。计算机可读程序指令可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。在一些实施例中，通过利用计算机可读程序指令的状态信息来个性化定制电子电路，例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)，该电子电路可以执行计算机可读程序指令，从而实现本公开内容的各个方面。

实施例四

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的电子证据固定终端。

一种基于内存取证和区块链的电子证据固定终端，基于所述的一种基于内存取证和区块链的电子证据固定方法，包括：

取证工具下载模块，被配置为通过区块链网络下载可信的取证工具；

合法性验证模块，被配置为与区块链网络交互，验证取证工具执行代码合法性；

证据固定模块，被配置为运行取证工具，获取电子数据，并生成操作日志，同时采用内存取证技术获取计算机内存信息，进行证据固定；

区块链上传模块，被配置为分别将电子数据、操作日志和内存信息生成hash值，上传至区块链网络，并接收返回的对应的区块链地址。

进一步地，该电子证据固定终端还包括通信模块，被配置为在需要对获得的电子证据进行鉴定时，将电子证据、内存信息和其对应的区块链地址发送至司法鉴定机构终端。

应当注意，尽管在上文的详细描述中提及了设备的若干模块或子模块，但是这种划分仅仅是示例性而非强制性的。实际上，根据本公开的实施例，上文描述的两个或更多模块的特征和功能可以在一个模块中具体化。反之，上文描述的一个模块的特征和功能可以进一步划分为由多个模块来具体化。

实施例五

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的网络取证方法。

如图4所述，一种基于内存取证和区块链的网络取证方法，该方法在司法鉴定机构终端中实现，包括：

S201：接收电子证据固定终端发送的区块链地址；

S202：根据区块链地址查询区块链上的信息，验证电子数据、操作日志和内存信息的合法性；

S203：验证通过后，采用内存取证技术分析内存信息，提取电子证据获取时系统状态，并验证系统状态与电子证据和操作日志的相符性；

S204：采用内存分析验证取证工具运行时是否被hook或注入，并验证其运行环境可靠性；

S205：生成司法鉴定报告。

进一步地，所述验证电子数据、操作日志和内存信息的合法性为验证电子数据、操作日志和内存信息未被修改过。

司法鉴定机构终端依据区块链地址上的内容以及用户提供的电子证据，分别做以下工作：

1)查询区块链上的信息，验证电子证据、操作日志、内存镜像信息有没有被修改过；

2)验证通过后，利用内存取证技术分析内存镜像信息，提取证据获取时的系统状态，验证系统状态与电子数据/操作日志等信息相符；

3)使用内存分析技术，验证取证工具运行时没有被hook或注入，验证其运行环境的可靠性。

进一步地，该方法还包括：将司法鉴定报告发送至用户终端。

实施例六

根据本公开的一个或多个实施例的一个方面，提供一种计算机可读存储介质。

一种计算机可读存储介质，其中存储有多条指令，所述指令适于由电子设备的处理器加载并执行所述的一种基于内存取证和区块链的网络取证方法。

实施例七

根据本公开的一个或多个实施例的一个方面，提供一种电子设备。

一种电子设备，其包括处理器和计算机可读存储介质，处理器用于实现各指令；计算机可读存储介质用于存储多条指令，所述指令适于由处理器加载并执行所述的一种基于内存取证和区块链的网络取证方法。

这些计算机可执行指令在设备中运行时使得该设备执行根据本公开中的各个实施例所描述的方法或过程。

在本实施例中，计算机程序产品可以包括计算机可读存储介质，其上载有用于执行本公开的各个方面的计算机可读程序指令。计算机可读存储介质可以是可以保持和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质例如可以是――但不限于――电存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式压缩盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、机械编码设备、例如其上存储有指令的打孔卡或凹槽内凸起结构、以及上述的任意合适的组合。这里所使用的计算机可读存储介质不被解释为瞬时信号本身，诸如无线电波或者其他自由传播的电磁波、通过波导或其他传输媒介传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。

本文所描述的计算机可读程序指令可以从计算机可读存储介质下载到各个计算/处理设备，或者通过网络、例如因特网、局域网、广域网和/或无线网下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光纤传输、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或者网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令，以供存储在各个计算/处理设备中的计算机可读存储介质中。

用于执行本公开内容操作的计算机程序指令可以是汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或者以一种或多种编程语言的任意组合编写的源代码或目标代码，所述编程语言包括面向对象的编程语言—诸如C++等，以及常规的过程式编程语言—诸如“C”语言或类似的编程语言。计算机可读程序指令可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。在一些实施例中，通过利用计算机可读程序指令的状态信息来个性化定制电子电路，例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)，该电子电路可以执行计算机可读程序指令，从而实现本公开内容的各个方面。

实施例八

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的网络取证终端。

一种基于内存取证和区块链的网络取证终端，基于所述的一种基于内存取证和区块链的网络取证方法，包括：

区块链地址接收模块，被配置为接收电子证据固定终端发送的区块链地址；

合法性验证模块，被配置为根据区块链地址查询区块链上的信息，验证电子数据、操作日志和内存信息的合法性；

第一鉴定模块，被配置为验证通过后，采用内存取证技术分析内存信息，提取电子证据获取时系统状态，并验证系统状态与电子证据和操作日志的相符性；

第二鉴定模块，被配置为采用内存分析验证取证工具运行时是否被hook或注入，并验证其运行环境可靠性；

报告生成模块，被配置为生成司法鉴定报告。

进一步地，该网络取证终端还包括通信模块，被配置为将司法鉴定报告发送至用户终端。

应当注意，尽管在上文的详细描述中提及了设备的若干模块或子模块，但是这种划分仅仅是示例性而非强制性的。实际上，根据本公开的实施例，上文描述的两个或更多模块的特征和功能可以在一个模块中具体化。反之，上文描述的一个模块的特征和功能可以进一步划分为由多个模块来具体化。

实施例九

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的网络取证方法。

如图5所示，一种基于内存取证和区块链的网络取证方法，该方法在网络取证系统中实现，包括：

步骤S101：电子证据固定终端通过区块链网络下载可信的取证

工具；步骤S102：与区块链网络交互，验证取证工具执行代码

合法性；

步骤S103：运行取证工具，获取电子数据，并生成操作日志，同时采用内存取证技术获取计算机内存信息，进行证据固定；

步骤S104：分别将电子数据、操作日志和内存信息生成hash值，上传至区块链网络，并接收返回的对应的区块链地址；

在需要对获得的电子证据进行鉴定时，电子证据固定终端将电子证据、内存信息和其对应的区块链地址发送至司法鉴定机构终端；

步骤S201：司法鉴定机构终端接收电子证据固定终端发送的区块链地址；

步骤S202：司法鉴定机构终端根据区块链地址查询区块链上的信息，验证电子数据、操作日志和内存信息的合法性；

步骤S203：司法鉴定机构终端验证通过后，采用内存取证技术分析内存信息，提取电子证据获取时系统状态，并验证系统状态与电子证据和操作日志的相符性；

步骤S204：司法鉴定机构终端采用内存分析验证取证工具运行时是否被hook或注入，并验证其运行环境可靠性；

步骤S205：司法鉴定机构终端生成司法鉴定报告。

如图3所述，采用基于内存取证和区块链技术的网络取证流程。按照本专利实施方式的网络数据或各类网络app数据取证过程中，用户在区块链技术的支撑下按需收集固定包括计算机内存在内的电子数据(步骤1)，固定完证据后，再按需委托司法鉴定机构对电子证据进行司法鉴定(步骤2)，司法鉴定机构依据区块链上的数据、内存数据和电子证据，进行司法鉴定，验证电子证据在获取及获取之后没有被修改过(步骤3)，并给用户出具司法报告(步骤4)。

从图1和图3对比中可以看到，采取本专利方法，取证需求单位或个人可以按自己的需求自己收集和固定证据，可有效减少证据形成的环节和处理时间，同时也避免了二次收集证据的时间间隔所造成的原始证据更改、销毁的潜在隐患。

实施例十

根据本公开的一个或多个实施例的一个方面，提供一种基于内存取证和区块链的网络取证系统。

一种基于内存取证和区块链的网络取证系统，基于所述的一种基于内存取证和区块链的网络取证方法，该系统包括：电子证据固定终端和司法鉴定机构终端；

所述电子证据固定终端，通过区块链网络下载可信的取证工具；与区块链网络交互，验证取证工具执行代码合法性；运行取证工具，获取电子数据，并生成操作日志，同时采用内存取证技术获取计算机内存信息，进行证据固定；分别将电子数据、操作日志和内存信息生成hash值，上传至区块链网络，并接收返回的对应的区块链地址；在需要对获得的电子证据进行鉴定时，将电子证据、内存信息和其对应的区块链地址发送至司法鉴定机构终端；

所述司法鉴定机构终端，接收电子证据固定终端发送的区块链地址；根据区块链地址查询区块链上的信息，验证电子数据、操作日志和内存信息的合法性；验证通过后，采用内存取证技术分析内存信息，提取电子证据获取时系统状态，并验证系统状态与电子证据和操作日志的相符性；采用内存分析验证取证工具运行时是否被hook或注入，并验证其运行环境可靠性；生成司法鉴定报告。

以上所述仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (2)

1.一种基于内存取证和区块链的网络取证方法，其特征在于，该方法在网络取证系统中实现，包括：

电子证据固定终端通过区块链网络下载可信的取证工具；与区块链网络交互，验证取证工具执行代码合法性；所述验证取证工具执行代码合法性为验证取证工具的执行代码未被修改过；运行取证工具，获取电子数据，并生成操作日志，同时采用内存取证技术获取计算机内存信息，进行证据固定；分别将电子数据、操作日志和内存信息生成hash值，上传至区块链网络，并接收返回的对应的区块链地址；在需要对获得的电子证据进行鉴定时，将电子证据、内存信息和其对应的区块链地址发送至司法鉴定机构终端；

司法鉴定机构终端接收电子证据固定终端发送的区块链地址；根据区块链地址查询区块链上的信息，验证电子数据、操作日志和内存信息的合法性；验证通过后，采用内存取证技术分析内存信息，提取电子证据获取时系统状态，并验证系统状态与电子证据和操作日志的相符性；采用内存分析验证取证工具运行时是否被hook或注入，并验证其运行环境可靠性；生成司法鉴定报告；

通过基于内存取证和区块链的电子证据固定方法，将电子证据固定前置；利用内存取证、区块链和取证工具确保了电子数据获取来源、获取过程的可信，使得获取的电子证据难以篡改。

2.一种基于内存取证和区块链的网络取证系统，其特征在于，基于如权利要求1所述的一种基于内存取证和区块链的网络取证方法，该系统包括：电子证据固定终端和司法鉴定机构终端；

所述电子证据固定终端，通过区块链网络下载可信的取证工具；与区块链网络交互，验证取证工具执行代码合法性；所述验证取证工具执行代码合法性为验证取证工具的执行代码未被修改过；运行取证工具，获取电子数据，并生成操作日志，同时采用内存取证技术获取计算机内存信息，进行证据固定；分别将电子数据、操作日志和内存信息生成hash值，上传至区块链网络，并接收返回的对应的区块链地址；在需要对获得的电子证据进行鉴定时，将电子证据、内存信息和其对应的区块链地址发送至司法鉴定机构终端；

所述司法鉴定机构终端，接收电子证据固定终端发送的区块链地址；根据区块链地址查询区块链上的信息，验证电子数据、操作日志和内存信息的合法性；验证通过后，采用内存取证技术分析内存信息，提取电子证据获取时系统状态，并验证系统状态与电子证据和操作日志的相符性；采用内存分析验证取证工具运行时是否被hook或注入，并验证其运行环境可靠性；生成司法鉴定报告；

通过基于内存取证和区块链的电子证据固定方法，将电子证据固定前置；利用内存取证、区块链和取证工具确保了电子数据获取来源、获取过程的可信，使得获取的电子证据难以篡改。

Images