Microsoft Word 新_吴信东,16页_.doc

Transcription

1 软 件 学 报 ISSN , CODEN RUXUEW Journal of Software,2014,25(12): [doi: /j.cnki.jos ] 中 国 科 学 院 软 件 研 究 所 版 权 所 有. Tel/Fax: 社 交 网 络 取 证 初 探 吴 信 东 1,2, 李 亚 东 1 1, 胡 东 辉 1 ( 合 肥 工 业 大 学 计 算 机 与 信 息 学 院, 安 徽 合 肥 ) 2 (Department of Computer Science, University of Vermont, Burlington, VT 05405, USA) 通 讯 作 者 : 吴 信 东, xwu@hfut.edu.cn 摘 要 : 社 交 网 络 是 人 类 借 用 计 算 技 术 和 信 息 技 术 进 行 信 息 交 流 建 立 人 际 交 互 关 系 等 社 会 活 动 的 一 种 新 型 工 具, 已 成 为 社 会 计 算 中 研 究 社 会 软 件 的 核 心 课 题 之 一. 社 交 网 页 取 证 旨 在 对 用 户 信 息 进 行 证 据 获 取 固 定 分 析 和 展 示, 提 供 直 接 有 效 客 观 公 正 的 第 三 方 依 据. 在 互 联 网 飞 速 发 展 的 背 景 下, 社 交 网 页 取 证 面 临 着 用 户 信 息 多 样 内 容 动 态 ( 实 时 ) 变 化 海 量 交 互 和 图 片 内 容 是 否 可 信 的 挑 战, 已 成 为 社 交 网 络 和 社 会 计 算 中 舆 情 分 析 情 感 计 算 社 交 网 络 关 系 的 内 容 分 析 以 及 个 人 群 体 和 社 会 性 行 为 分 析 的 一 个 重 要 难 题. 针 对 社 交 网 页 取 证 问 题, 以 新 浪 微 博 为 例, 设 计 了 一 套 取 证 解 决 方 案, 对 用 户 发 表 的 信 息 人 脸 图 片 位 置 信 息 进 行 固 定, 依 靠 网 页 取 证 方 法 来 认 证 信 息 的 可 信 性. 同 时, 利 用 信 息 可 视 化 展 示 手 段 和 辅 助 分 析 来 应 对 在 海 量 社 交 网 页 数 据 背 景 下 的 计 算 机 取 证 工 作. 关 键 词 : 计 算 机 取 证 ; 社 交 网 络 ; 社 会 计 算 ; 可 信 取 证 中 图 法 分 类 号 : TP311 中 文 引 用 格 式 : 吴 信 东, 李 亚 东, 胡 东 辉. 社 交 网 络 取 证 初 探. 软 件 学 报,2014,25(12): 英 文 引 用 格 式 : Wu XD, Li YD, Hu DH. Study on social network forensics. Ruan Jian Xue Bao/Journal of Software, 2014,25 (12): (in Chinese). Study on Social Network Forensics WU Xin-Dong 1,2, LI Ya-Dong 1, HU Dong-Hui 1 1 (College of Computer Science and Information Engineering, Hefei University of Technology, Hefei , China) 2 (Department of Computer Science, University of Vermont, Burlington, VT 05405, USA) Corresponding author: WU Xin-Dong, xwu@hfut.edu.cn Abstract: Based on advances in computing technology and information technology, social networks have emerged as a new tool for people to exchange information and build interaction networks, and have become a key topic for social software studies in social computing. Social network forensics seeks to acquire, organize, analyze and visualize user information as direct, objective and fair evidence from a third-party perspective. Along with the rapid development of the Internet, social network forensics faces new challenges in dealing with user information being diverse, real-time and dynamic, huge in volume, and interactive, and also photo trustworthiness. It therefore has become a hot issue for opinion analysis, affective computing, content analysis in social networking relations, as well as individual, group and social behaviors in social networks and social computing. This paper designs a forensic model for social network forensics, and implements it on Sina microblogging. This model provides user information analysis, facial image recognition, and location presentation for trustworthiness analysis of digital evidence, and applies visualization to help reduce the difficulty of analysis and forensics on massive data from social networks. Key words: computer forensics; social networks; social computing; trustworthy forensics 基 金 项 目 : 国 家 自 然 科 学 基 金 ( , ); 国 家 高 技 术 研 究 发 展 计 划 (863)(2012AA011005); 国 家 重 点 基 础 研 究 发 展 计 划 (973)(2013CB329604); 教 育 部 创 新 团 队 基 金 (IRT13059) 收 稿 时 间 : ; 修 改 时 间 : ; 定 稿 时 间 :

2 2878 Journal of Software 软 件 学 报 Vol.25, No.12, December 2014 计 算 机 技 术 的 飞 速 发 展 与 互 联 网 的 快 速 传 播, 极 大 地 改 变 了 人 们 的 日 常 生 活, 互 联 网 已 经 成 为 政 治 经 济 和 社 会 活 动 的 重 要 场 所. 社 交 网 络 是 人 类 借 用 计 算 技 术 和 信 息 技 术 进 行 信 息 交 流 建 立 人 际 交 互 关 系 等 社 会 活 动 的 一 种 新 型 工 具, 已 成 为 社 会 计 算 中 研 究 社 会 软 件 的 一 个 核 心 课 题. 与 此 同 时, 犯 罪 分 子 利 用 计 算 机 和 互 联 网 技 术 进 行 各 种 犯 罪 活 动, 出 现 了 计 算 机 和 网 络 犯 罪 ; 而 传 统 的 犯 罪 也 在 计 算 机 和 互 联 网 技 术 的 辅 助 下, 变 得 更 加 狡 诈 和 隐 蔽 [1]. 针 对 这 些 计 算 机 相 关 犯 罪 活 动, 需 要 利 用 取 证 技 术 对 相 关 证 据 进 行 固 定, 并 确 保 这 些 证 据 是 可 信 的. 传 统 计 算 机 取 证 的 证 据 可 信 基 础 依 赖 于 对 原 始 数 据 存 储 介 质 的 获 取 与 固 定, 但 是 服 务 器 托 管 技 术 使 得 网 络 服 务 提 供 商 可 以 将 服 务 器 放 置 在 国 外, 甚 至 一 个 庞 大 的 服 务 器 云 中, 使 得 直 接 获 取 这 些 服 务 器 存 储 介 质 的 难 度 非 常 大 ; 同 时, 这 些 数 据 又 能 被 非 常 方 便 地 远 程 销 毁. 因 此, 在 无 法 直 接 获 得 存 储 介 质 的 情 况 下 及 时 取 证 并 确 保 取 证 得 到 的 证 据 的 可 信 性, 是 一 个 值 得 研 究 的 问 题. 特 别 是 随 着 近 几 年 来 社 交 网 站 的 兴 起, 人 们 可 以 更 加 迅 速 地 进 行 远 程 信 息 交 流 建 立 人 际 交 互 关 系, 用 户 也 越 来 越 主 动 地 把 自 身 的 信 息 分 享 到 社 交 网 站 上. 社 交 网 站 提 供 的 个 性 化 服 务, 使 得 用 户 能 够 上 传 大 量 的 文 字 图 片 音 频 位 置 等 信 息. 这 些 社 交 网 络 信 息 具 备 多 样 动 态 ( 实 时 ) 海 量 和 交 互 等 特 性, 极 大 地 增 加 了 取 证 的 困 难 性, 从 而 导 致 传 统 的 计 算 机 取 证 方 法 已 经 不 能 适 应, 需 要 发 展 面 向 社 交 网 站 的 有 效 取 证 方 法. 此 外, 社 交 网 站 是 社 交 网 络 中 人 与 信 息 系 统 交 互 ( 并 通 过 信 息 系 统 与 他 人 进 行 交 互 ) 的 重 要 场 所, 可 以 通 过 对 社 交 网 页 中 相 关 证 据 的 获 取 固 定 分 析 和 展 示 形 成 相 对 完 整 和 可 信 的 证 据 ( 链 ). 社 交 网 页 取 证 旨 在 对 用 户 发 布 在 社 交 网 页 上 的 信 息 进 行 证 据 固 定, 提 供 直 接 有 效 客 观 公 正 的 第 三 方 依 据, 已 成 为 社 交 网 络 和 社 会 计 算 中 舆 情 分 析 情 感 计 算 以 及 个 人 群 体 和 社 会 性 行 为 分 析 的 一 个 重 要 研 究 课 题. 本 文 针 对 网 页 取 证, 特 别 是 社 交 网 页 取 证 中 所 面 临 的 问 题, 主 动 对 网 页 内 容 进 行 取 证, 探 索 针 对 社 交 网 页 取 证 的 若 干 关 键 技 术 和 方 法, 并 以 新 浪 微 博 为 例, 设 计 了 一 个 社 交 网 站 取 证 方 案, 固 定 新 浪 微 博 上 的 文 本 位 置 和 人 脸 图 片 等 信 息, 确 保 整 个 取 证 过 程 中 的 数 据 可 信. 同 时, 对 取 证 得 到 的 相 关 数 据 结 合 社 会 计 算 相 关 分 析 手 段, 分 析 并 提 取 出 有 用 的 数 据, 探 索 海 量 复 杂 社 交 网 络 环 境 下 计 算 机 取 证 的 新 方 法. 社 交 网 络 的 用 户 关 系 的 挖 掘 和 分 析 是 社 交 网 络 取 证 的 重 要 部 分, 通 过 利 用 社 交 网 络 关 系 的 挖 掘 和 分 析, 可 以 为 网 络 犯 罪 侦 查 提 供 有 价 值 的 线 索. 由 于 该 部 分 内 容 属 于 相 对 独 立 的 研 究 范 畴, 本 文 不 特 别 研 究 该 部 分 内 容. 1 研 究 背 景 与 挑 战 1.1 研 究 背 景 传 统 计 算 机 取 证 传 统 计 算 机 取 证 对 象 的 主 要 目 标 是 嫌 疑 犯 的 计 算 机 或 者 存 储 介 质 的 数 据, 并 按 照 严 格 的 操 作 规 范 从 中 提 取 证 据 并 固 定, 一 般 情 况 下 会 使 用 专 业 的 数 据 获 取 工 具, 精 确 地 复 制 存 储 介 质 中 的 每 一 个 字 节, 生 成 镜 像 证 据 文 件. 针 对 固 定 下 来 的 镜 像 证 据 文 件, 构 造 独 立 的 系 统 环 境, 对 原 始 数 据 进 行 分 析, 并 找 到 关 键 犯 罪 证 据 [2,3]. 而 存 储 介 质 上 的 是 最 原 始 的 不 易 被 人 理 解 的 二 进 制 数 据, 通 过 对 这 些 数 据 的 进 一 步 解 码 提 取 分 析, 获 得 相 关 的 文 档 音 频 视 频 等 文 件, 最 终 取 得 能 够 被 多 数 人 理 解 能 够 用 于 法 庭 作 证 的 证 据. 最 终 的 证 据 一 方 面 要 保 证 其 可 信 性 和 不 被 篡 改, 另 一 方 面 也 要 保 证 其 可 理 解 性 [4]. 目 前, 计 算 机 取 证 的 主 要 有 两 个 研 究 方 向 是 分 析 总 结 现 有 [5,6] 的 相 关 取 证 模 型 和 针 对 不 同 取 证 场 景 设 计 相 关 取 证 方 案 [7 9]. 步 骤 : Kent 等 人 针 对 计 算 机 取 证 过 程 提 出 了 一 种 基 础 的 取 证 模 型 [10], 如 图 1 所 示. 模 型 将 整 个 取 证 过 程 分 为 4 个 (1) 搜 集 : 主 要 目 标 是 搜 集 存 储 有 犯 罪 信 息 的 计 算 机 存 储 设 备, 通 过 这 个 步 骤 能 够 获 取 原 始 的 存 储 介 质, 例 如 硬 盘 光 盘 等. 对 于 搜 集 到 的 存 储 介 质, 会 立 即 进 行 逐 字 节 的 只 读 镜 像 操 作, 保 证 原 始 的 存 储 设 备 不 被 任 何 修 改 操 作, 而 之 后 所 有 的 数 据 提 取 与 分 析 均 会 从 镜 像 数 据 上 读 取 ; (2) 提 取 : 从 镜 像 数 据 中 提 取 有 用 的 文 本 图 形 图 像 动 画 音 频 及 视 频 等 多 媒 体 信 息, 这 些 信 息 已 经 是 可 以 理 解 的 有 意 义 的 文 件 数 据 ; (3) 分 析 : 主 要 针 对 提 取 出 的 多 媒 体 信 息 进 行 详 细 的 分 析, 寻 找 相 关 的 犯 罪 内 容. 在 这 一 步 骤 中, 需 要 过 滤

3 吴 信 东 等 : 社 交 网 络 取 证 初 探 2879 掉 大 量 的 无 关 内 容 ; (4) 报 告 : 将 相 关 犯 罪 信 息 通 过 归 纳 总 结 形 成 报 告, 作 为 最 终 的 证 据 向 法 庭 提 交. 这 些 报 告 需 要 易 于 被 法 庭 控 辩 双 方 理 解, 客 观 地 表 述 事 实. Collection Examination Analysis Reporting Media Data Information Evidence Fig.1 Basic model of computer forensics 图 1 计 算 机 取 证 基 础 模 型 Kent 等 人 提 出 了 计 算 机 取 证 的 基 本 要 求, 定 义 了 4 大 步 骤, 适 用 于 普 遍 的 计 算 机 取 证 过 程. 但 是 此 模 型 的 主 要 问 题 是 过 于 粗 略, 没 有 具 体 定 义 取 证 过 程 中 的 要 求 和 步 骤.Ankit 等 人 对 4 大 步 骤 进 行 了 细 分, 论 述 了 各 个 部 分 所 包 含 的 详 细 步 骤, 同 时, 强 调 了 建 立 独 立 的 取 证 环 境 和 严 格 记 录 整 个 取 证 过 程 的 时 间 轴 来 保 证 取 证 过 程 不 受 干 扰 与 取 证 结 果 真 实 可 信 [5] 网 络 取 证 技 术 网 络 取 证 技 术 主 要 针 对 网 络 数 据 流 网 络 设 备 日 志 的 实 时 监 控 和 分 析, 发 现 网 络 系 统 的 入 侵 行 为, 自 动 记 录 犯 罪 证 据, 对 网 络 的 动 态 信 息 进 行 收 集 和 对 网 络 攻 击 的 主 动 防 御 [6]. 通 常, 这 些 网 络 数 据 流 是 一 次 性 内 容, 易 丢 失, 不 会 直 接 被 存 储 于 存 储 介 质 上 或 者 存 储 于 有 限 空 间 的 存 储 介 质 中, 通 过 利 用 嗅 探 技 术 对 这 些 流 式 网 络 数 据 包 进 行 记 录 固 定 和 取 证 分 析 [7,8]. 但 是, 网 络 数 据 流 往 往 含 有 大 量 的 用 于 保 证 传 输 可 靠 性 的 冗 余 数 据, 因 此, 相 比 直 接 分 析 存 储 设 备 上 的 数 据, 需 要 进 行 更 高 强 度 的 提 取 过 滤 与 分 析 操 作. 为 了 能 够 有 效 应 对 这 一 挑 战,Robert 等 人 进 一 步 提 出 了 网 络 取 证 的 可 视 化 模 型, 利 用 可 视 化 数 据 分 析 技 术 对 固 定 的 内 容 进 分 析 和 取 证 [11] 网 页 取 证 技 术 网 页 取 证 的 目 标 是 主 要 获 取 用 户 浏 览 到 的 网 页 数 据, 可 以 从 以 下 3 个 方 面 进 行 相 关 取 证 : (1) 服 务 器 端 网 页 取 证 主 要 利 用 传 统 的 计 算 机 取 证 方 法 获 取 网 页 服 务 器 的 相 关 存 储 设 备, 然 后, 针 对 网 页 服 务 器 所 使 用 的 相 关 架 构, 获 取 网 页 内 容 和 数 据 库 内 容, 并 进 行 固 定 取 证. 文 献 [12] 中 设 计 了 一 种 针 对 ASP 动 态 网 站 的 取 证 方 法. 但 是 随 着 互 联 网 的 快 速 发 展 与 云 计 算 技 术 的 广 泛 应 用, 给 服 务 器 端 取 证 带 来 的 很 大 的 困 难. 通 常, 犯 罪 分 子 会 将 相 关 犯 罪 信 息 放 到 网 络 服 务 提 供 商 的 服 务 器 中, 这 些 网 络 服 务 提 供 商 的 服 务 器 可 能 托 管 在 国 外, 直 接 增 加 了 获 取 存 储 设 备 的 难 度. 而 对 于 犯 罪 分 子, 依 靠 远 程 访 问 与 服 务 技 术, 可 以 随 时 随 地 快 速 销 毁 相 关 证 据. 而 在 云 计 算 环 境 下, 通 常 会 将 数 据 存 储 于 一 个 云 存 储 集 群 中, 并 且 被 分 片 存 储 于 多 台 计 算 机 中, 即 使 可 以 封 存 这 些 服 务 器, 然 后 进 行 固 定 取 证, 也 需 要 耗 费 大 量 的 人 力 物 力 进 行 多 设 备 数 据 的 提 取 与 固 定, 代 价 极 高 [13]. 因 此, 传 统 的 计 算 机 取 证 技 术 对 服 务 器 端 的 网 页 取 证 也 有 一 定 的 局 限 性. (2) 客 户 端 网 页 取 证 对 于 客 户 端 的 网 页 取 证, 同 样 采 用 了 传 统 的 取 证 手 段, 通 过 对 个 人 用 户 电 脑 中 的 浏 览 器 等 软 件 浏 览 网 页 记 录 进 行 固 定 和 分 析, 获 取 到 用 户 浏 览 网 页 的 内 容. 主 要 难 点 在 于 需 要 详 细 分 析 每 一 种 相 关 的 软 件, 寻 找 软 件 的 日 志 并 提 取 信 息 [9] ; 此 外, 客 户 端 的 网 页 浏 览 工 具 通 常 不 会 完 整 记 录 网 页 的 信 息, 会 存 在 一 部 分 的 信 息 丢 失 情 况. 本 文 作 者 参 考 客 户 端 网 页 取 证 方 法, 提 出 了 利 用 网 络 爬 虫 模 拟 用 户 浏 览 网 页 再 保 存 相 关 数 据 的 方 法, 通 过 网 络 爬 虫 主 动 产 生 访 问 请 求 数 据 对 网 页 的 内 容 进 行 取 证 [14]. 但 是 该 方 法 的 主 要 问 题 是 保 存 下 来 的 证 据 多 为 文 本 文 件, 比 较 容 易 受 到 篡 改, 证 据 的 可 信 度 较 低. (3) 数 据 流 网 页 取 证 主 要 利 用 了 网 络 取 证 中 的 相 关 取 证 技 术, 对 用 户 浏 览 网 页 过 程 中 产 生 的 网 络 数 据 流 进 行 取 证 固 定. 这 种 方 法 能 够 保 存 较 为 完 整 的 数 据, 篡 改 数 据 的 难 度 也 比 较 大. 但 是 此 方 法 是 一 种 比 较 被 动 的 取 证 方 式, 需 要 用 户 去 主

4 2880 Journal of Software 软 件 学 报 Vol.25, No.12, December 2014 动 触 发 浏 览 网 页 的 行 为, 大 量 的 数 据 也 提 高 了 分 析 的 难 度. 1.2 社 交 网 络 取 证 问 题 社 交 网 络 由 于 其 信 息 多 样 动 态 ( 实 时 ) 海 量 交 互 和 可 信 性 质 疑 等 特 点, 相 比 一 般 的 网 络 取 证 和 网 页 取 证 具 更 大 的 困 难 性. 主 要 表 现 在 : (1) 动 态 实 时 数 据 获 取 问 题 不 同 于 其 他 类 型 的 网 站, 社 交 网 站 普 遍 采 用 服 务 器 集 群 和 云 计 算 技 术, 使 得 服 务 器 存 储 设 备 更 加 难 以 直 接 获 取 取 证. 而 社 交 网 站 的 交 互 要 求, 使 得 大 多 数 社 交 网 页 采 用 了 AJAX 等 技 术, 网 页 内 容 动 态 变 化 实 时 刷 新, 更 新 速 度 快. 社 交 网 站 含 有 大 量 的 个 人 信 息, 因 此, 一 般 的 社 交 网 站 均 要 进 行 用 户 登 录 后 才 提 供 完 整 详 细 的 信 息, 甚 [15] 至 需 要 通 过 对 方 用 户 的 权 限 审 核 才 能 获 取 对 应 用 户 的 信 息. 在 Huber 等 人 设 计 的 社 交 网 站 取 证 方 案 中, 主 要 通 过 社 交 网 站 的 开 放 API 和 网 页 会 话 来 通 过 网 站 验 证 获 取 相 关 信 息, 但 是 这 只 解 决 了 数 据 的 获 取 问 题, 无 法 满 足 计 算 机 取 证 过 程 中 对 取 证 内 容 ( 证 据 ) 的 可 信 要 求, 这 两 种 取 证 方 法 获 得 的 证 据 难 免 降 低 了 可 信 度. (2) 海 量 数 据 内 容 分 析 问 题 普 通 网 页 中 含 有 大 量 的 多 媒 体 信 息, 多 样 的 内 容 给 具 体 的 分 析 带 来 了 很 大 的 困 难. 而 社 交 网 站 中, 用 户 是 发 布 信 息 的 主 体, 用 户 能 够 每 天 发 布 大 量 的 数 据. 加 上 新 浪 微 博 中 的 文 本 长 度 限 制, 使 得 信 息 的 浓 缩 度 高, 但 是 同 时 也 加 大 了 发 布 频 率. 此 外, 社 交 网 站 的 信 息 分 享 属 性, 使 得 用 户 发 布 的 多 媒 体 信 息 均 会 与 用 户 自 身 高 度 相 关. 例 如 在 用 户 新 浪 微 博 中, 可 以 发 布 大 量 的 关 于 某 个 话 题 的 内 容 用 户 的 个 人 照 片 位 置 等 信 息, 这 些 与 用 户 自 身 密 切 相 关 的 数 据 具 有 很 高 的 取 证 价 值. 如 何 从 这 些 海 量 多 样 的 原 始 信 息 中 获 得 与 案 件 相 关 的 证 据, 是 社 交 网 络 取 证 面 临 的 一 个 主 要 挑 战. (3) 复 杂 交 互 数 据 展 示 问 题 目 前 的 社 交 网 站 大 量 采 用 了 动 态 网 页 技 术, 包 含 大 量 的 交 互 操 作. 简 单 地 将 网 页 内 容 保 存 到 本 地, 会 丢 失 大 量 交 互 信 息. 同 时, 社 交 网 络 中 用 户 的 交 互 活 动 还 涉 及 行 为 位 置 情 感 等 因 素, 如 何 有 效 获 取 并 展 示 这 些 证 据, 也 是 社 交 网 站 取 证 需 要 解 决 的 问 题. (4) 证 据 的 可 信 性 问 题 正 是 由 于 社 交 网 络 中 信 息 的 多 样 动 态 ( 实 时 ) 海 量 和 交 互 等 特 点, 造 成 了 证 据 的 获 取 难 分 析 难 展 示 难, 通 过 一 般 计 算 机 取 证 方 法 所 获 取 的 证 据 在 证 据 的 完 整 性 真 实 性 和 可 理 解 性 方 面 有 所 欠 缺, 不 能 形 成 法 律 上 可 以 接 受 的 可 信 证 据. 本 文 针 对 这 些 问 题 和 挑 战, 提 出 一 种 多 层 次 社 交 网 页 可 信 取 证 模 型 系 统, 探 索 社 交 网 页 复 杂 海 量 数 据 的 证 据 分 析 展 示 方 法. 2 一 种 多 层 次 社 交 网 页 可 信 取 证 模 型 系 统 为 了 能 够 有 效 地 对 社 交 网 页 进 行 取 证, 本 节 设 计 了 一 种 多 层 次 取 证 模 型 系 统, 利 用 不 同 层 次 的 证 据 获 取 与 固 定, 实 现 对 社 交 网 页 的 可 信 固 定, 并 能 够 进 行 有 效 展 示. 本 文 所 适 用 的 取 证 场 景 主 要 有 两 种 情 况 : (1) 针 对 某 个 指 定 网 站 或 者 某 个 指 定 网 页 内 容, 进 行 一 次 性 完 整 的 快 照 取 证 ; (2) 针 对 某 个 指 定 网 站 或 者 某 个 指 定 网 页, 进 行 连 续 的 多 次 取 证 对 比. 此 时 为 了 减 少 固 定 的 工 作 量, 需 要 自 动 识 别 已 经 被 固 定 过 并 且 未 被 修 改 的 网 页 内 容, 避 免 重 复 固 定. 2.1 模 型 系 统 的 整 体 框 架 图 2 给 出 了 一 种 多 层 次 社 交 网 页 取 证 系 统 的 整 体 框 架, 从 底 层 到 顶 层 分 别 为 : (1) 网 络 数 据 层 该 层 主 要 记 录 取 证 过 程 中 的 网 络 数 据 通 信, 保 存 的 是 二 进 制 网 络 数 据 包, 是 最 原 始 的 数 据, 数 据 量 大, 最 可 信 也 最 不 易 被 篡 改. 但 由 于 是 大 量 的 二 进 制 流, 分 析 困 难, 无 法 给 人 直 观 的 感 受, 可 理 解 性 差, 也 不 能 直 接 用 于 法

5 吴 信 东 等 : 社 交 网 络 取 证 初 探 2881 庭 作 证. (2) 内 容 爬 取 层 该 层 主 要 将 网 页 相 关 的 文 件 保 存 下 来, 大 多 是 可 读 的 文 本 数 据 和 图 像, 相 比 网 络 数 据 层, 容 易 提 取 其 中 的 信 息, 但 因 为 大 多 是 文 本 形 式, 所 以 容 易 遭 到 篡 改, 也 并 不 是 直 观 显 示 内 容, 需 要 经 过 一 定 的 转 换 才 能 够 重 新 恢 复 到 可 理 解 的 证 据. (3) 截 图 取 证 层 利 用 Webkit 对 爬 取 的 网 页 文 件 进 行 渲 染, 并 保 存 为 图 片. 所 获 得 的 网 页 截 图 是 网 页 内 容 最 直 观 的 展 示, 与 人 浏 览 同 样 网 页 的 效 果 一 致, 但 是 同 时 会 忽 略 掉 原 始 网 页 文 件 中 肉 眼 不 可 见 ( 例 如 白 色 文 字 ) 的 信 息, 也 无 法 直 接 和 用 户 进 行 互 动, 因 此 含 有 的 信 息 量 比 前 两 者 少, 无 法 直 接 从 网 页 截 图 中 提 取 文 本 等 数 据. 但 是 这 些 图 片 却 最 为 直 观. (4) 数 据 分 析 层 对 内 容 爬 取 层 获 得 的 社 交 网 页 相 关 内 容 进 行 分 析, 提 取 和 展 示 与 案 件 相 关 的 有 用 的 信 息, 并 形 成 法 庭 可 以 理 解 的 证 据 报 告. Fig.2 A multi-layer forensic model of social network Websites 图 2 一 种 多 层 次 社 交 网 页 取 证 模 型 对 于 上 述 所 获 取 的 数 据, 由 最 无 原 始 的 二 进 制 数 值 ( 网 络 数 据 包 ) 到 含 有 可 读 信 息 的 文 本 文 件, 再 到 可 视 化 的 网 页 截 图 与 经 过 分 析 提 取 的 信 息, 依 次 提 高 了 人 们 对 证 据 理 解 和 直 观 感 受 的 程 度. 其 中, 前 三 者 能 够 作 为 原 始 证 据, 包 含 有 完 整 的 网 页 内 容 数 据. 但 是 这 三 者 包 含 信 息 的 冗 余 和 完 整 程 度 不 一 样, 造 成 篡 改 的 难 度 也 依 次 降 低, 证 据 的 可 信 性 有 所 降 低. 因 此, 只 有 结 合 这 三 者 数 据, 才 能 形 成 既 具 备 可 信 性 又 能 直 接 提 交 法 庭 供 直 观 审 阅 的 证 据. 第 4 层 数 据 分 析 层 则 将 这 些 取 证 下 来 的 可 信 信 息, 进 行 进 一 步 分 析 以 便 用 于 犯 罪 侦 查. 在 具 体 取 证 过 程 中, 取 证 需 求 多 变, 需 要 实 时 针 对 取 证 对 象 ( 不 同 的 网 页 ) 进 行 灵 活 调 整 取 证 策 略, 修 改 信 息 的 获 取 和 过 滤 模 拟 登 录 规 则. 因 此, 本 系 统 主 要 采 用 脚 本 语 言 Python 进 行 开 发.Python 语 言 本 身 非 常 灵 活, 语 法 简 洁, 能 够 在 应 对 不 同 需 求 时 快 速 的 调 整 策 略. 此 外, 网 页 取 证 对 象 数 量 庞 大, 采 用 传 统 单 一 取 证 节 点 易 造 成 取 证 时 间 缓 慢 内 容 分 析 困 难. 本 文 利 用 现 有 的 开 源 海 量 数 据 处 理 与 存 储 方 案, 在 未 来 爬 虫 库 Scrapy 的 基 础 上, 利 用 分 布 式 内 存 数 据 库 Redis 实 现 分 布 式 爬 虫 队 列, 进 行 分 布 式 爬 取, 提 高 爬 取 速 度 和 降 低 负 载 ; 利 用 分 布 式 数 据 库 MongoDB 存 储 相 关 爬 取 内 容, 并 基 于 MongoDB 实 现 的 Gridfs 分 布 式 文 件 系 统 对 海 量 小 文 件 数 据 进 行 动 态 存 储. 通 过 利 用 这 些 现 有 开 源 分 布 式 平 台, 来 提 高 取 证 系 统 应 对 海 量 数 据 取 证 需 求 的 能 力 ( 如 图 3 所 示 ).

6 2882 Journal of Software 软 件 学 报 Vol.25, No.12, December 2014 Fig.3 Framework of distributed forensics 图 3 分 布 式 取 证 框 架 2.2 网 络 数 据 流 网 络 数 据 层 的 主 要 功 能 是 : 在 系 统 进 行 取 证 操 作 时, 利 用 软 件 从 操 作 系 统 底 层 获 取 网 络 报 文 数 据. 这 些 数 据 的 特 点 是 均 为 原 始 的 二 进 制 数 据 流, 各 个 数 据 包 只 有 简 单 的 校 验 码, 含 有 大 量 非 结 构 化 的 数 据, 难 以 进 行 直 接 的 修 改, 篡 改 的 难 度 大 ; 但 同 时, 这 些 数 据 包 必 须 经 过 解 析 才 能 读 取, 不 可 以 直 接 转 换 为 直 观 的 文 本 数 据, 难 以 直 接 应 用 于 法 庭. 网 页 取 证 过 程 中, 主 要 利 用 HTTP 协 议 进 行 数 据 的 获 取, 因 此, 嗅 探 的 主 要 对 象 是 HTTP 协 议 ; 此 外, 为 了 防 止 DNS 欺 骗 攻 击, 还 需 要 抓 取 DNS 协 议 数 据. 对 于 其 他 的 大 量 网 络 数 据 包 可 以 进 行 选 择 性 地 忽 略, 以 减 少 抓 取 数 据 量, 降 低 分 析 复 杂 度. 获 取 网 络 数 据 包 可 以 通 过 网 络 嗅 探 的 方 式, 在 取 证 服 务 器 或 者 网 关 上 进 行 网 络 数 据 嗅 探. 在 取 证 服 务 器 上, 能 够 及 时 地 获 取 相 关 数 据 ; 而 在 网 关 上 进 行 数 据 嗅 探, 则 能 在 一 定 程 度 上 加 强 取 证 的 可 信 性, 但 是 可 能 无 法 及 时 地 采 集 相 关 数 据, 同 时 也 容 易 受 到 其 他 非 取 证 通 信 数 据 的 干 扰. 2.3 网 页 内 容 爬 取 与 重 现 普 通 浏 览 网 页 过 程 用 户 浏 览 网 页 时 的 主 要 过 程 如 下 : (1) 用 户 在 浏 览 器 中 输 入 网 址, 浏 览 器 自 动 向 该 网 址 发 送 请 求. 此 后, 浏 览 器 会 在 后 台 执 行 余 下 的 步 骤 (2)~ 步 骤 (6); (2) DNS 解 析. 通 过 查 询 域 名 得 到 对 应 的 IP 地 址. 在 这 一 步 骤 中, 通 常 由 操 作 系 统 自 动 进 行 解 析, 并 且 现 在 的 多 数 浏 览 器 均 对 DNS 解 析 结 果 进 行 了 缓 存, 防 止 多 次 无 用 请 求, 提 高 浏 览 速 度. 但 是 目 前 广 泛 存 在 着 DNS 欺 骗 攻 击, 攻 击 者 将 DNS 查 询 结 果 篡 改 为 钓 鱼 网 站 的 IP 地 址, 导 致 用 户 上 当 受 骗, 这 会 直 接 影 响 到 取 证 结 果 ; (3) 请 求 主 页 面 信 息. 当 域 名 解 析 成 功 后, 会 根 据 解 析 结 果 和 网 址 向 对 应 IP 的 网 页 服 务 器 发 送 请 求 数 据, 网 页 服 务 器 随 后 返 回 一 个 主 页 面 内 容 ; (4) 解 析 主 页 面 内 容. 主 页 面 内 容 是 一 个 HTML 或 者 XML 页 面, 但 是 该 页 面 中 会 包 含 多 条 需 要 获 取 的 其 他 资 源, 将 这 些 页 面 资 源 组 合 之 后, 才 会 组 成 一 个 完 整 的 浏 览 页 面. 因 此, 浏 览 器 会 自 动 解 析 主 页 面, 并

7 吴 信 东 等 : 社 交 网 络 取 证 初 探 2883 从 中 提 取 出 相 关 的 资 源 链 接, 并 进 一 步 对 这 些 资 源 发 起 请 求 ; (5) 请 求 相 关 资 源. 过 程 与 步 骤 (2)~ 步 骤 (4) 类 似, 根 据 请 求 获 得 对 应 的 资 源 文 件, 但 是 此 时 获 取 的 资 源 文 件 不 仅 仅 是 HTML 页 面, 也 包 含 CSS 网 页 样 式 文 件 图 片 JS 脚 本 乃 至 音 视 频 等 各 种 类 别 的 资 源 ; (6) 合 成 渲 染 网 页. 浏 览 器 汇 总 所 有 获 得 的 网 页 和 资 源, 然 后 渲 染 网 页, 绑 定 事 件, 并 最 终 向 用 户 展 示 出 来 ; (7) 浏 览 网 页. 用 户 浏 览 最 终 的 网 页, 并 在 网 页 上 进 行 信 息 的 获 取 与 界 面 的 交 互 ; 整 个 过 程 中, 用 户 只 需 要 输 入 网 址, 主 要 的 操 作 都 是 由 浏 览 器 完 成. 但 是 浏 览 器 通 过 多 步 较 为 复 杂 的 过 程, 从 服 务 器 获 取 相 关 数 据 并 展 示 成 网 页. 因 此, 针 对 网 页 进 行 主 动 取 证, 主 要 的 手 段 是 模 仿 用 户 浏 览 网 页 过 程, 获 取 网 页 内 容, 并 保 存 相 关 文 件. 本 文 利 用 网 络 爬 虫 实 现 数 据 的 获 取 分 析 和 存 储, 将 用 户 浏 览 的 页 面 保 存 下 来, 作 为 证 据 取 证 过 程 为 了 能 够 远 程 对 服 务 器 上 的 网 页 内 容 进 行 取 证, 本 文 利 用 网 络 爬 虫 模 仿 用 户 浏 览 网 页 的 过 程, 将 服 务 器 提 供 的 信 息 爬 取 下 来 并 固 定 座 位 证 据. 网 络 爬 虫 是 按 照 一 定 规 则 自 动 抓 取 网 络 信 息 的 脚 本 或 程 序. 利 用 网 络 爬 虫, 能 够 进 行 定 向 有 选 择 的 数 据 抓 取. 具 体 的 取 证 过 程 如 图 4 所 示, 主 要 过 程 如 下 : Step 1. 发 送 请 求. 针 对 需 要 取 证 的 URL, 发 送 访 问 请 求. Step 2. 记 录 DNS 解 析 结 果. 提 取 URL 中 的 域 名, 记 录 其 解 析 结 果. Step 3. 针 对 一 个 取 证 URL, 发 送 获 取 主 页 面 的 请 求. Step 4. 获 取 主 页 面 内 容, 并 进 行 内 容 解 析, 获 得 该 页 面 包 含 的 相 关 静 态 资 源. Step 5. 针 对 页 面 内 的 静 态 资 源 继 续 发 送 请 求 并 进 行 固 定. Step 6. 将 所 有 获 取 的 资 源 固 定 为 证 据. 2. DNS 解 析 DNS 服 务 器 1. 取 证 网 页 3. 请 求 主 页 面 信 息 4. 获 取 并 解 析 主 页 面 内 容 数 据 库 服 务 器 取 证 服 务 器 6. 保 存 数 据 5. 请 求 相 关 静 态 资 源 Web 服 务 器 文 件 服 务 器 Fig.4 Procedure of web crawling Fig.4 网 络 爬 虫 取 证 过 程 在 整 个 网 页 取 证 系 统 如 图 5 所 示, 包 括 以 下 几 部 分 : (1) HTML 和 CSS 解 析 器 解 析 此 模 块 的 主 要 功 能 是 解 析 HTML 和 CSS 中 所 存 在 的 网 页 资 源 链 接. 解 析 得 到 的 链 接 会 放 入 URL 队 列 中, 供 爬 虫 进 一 步 爬 取. (2) 过 滤 及 数 据 提 取 在 处 理 爬 取 数 据 时, 可 以 经 过 过 滤 和 数 据 提 取, 以 便 提 高 实 际 的 爬 取 效 率. 在 爬 取 过 程 中, 使 用 正 则 表 达 式

8 2884 Journal of Software 软 件 学 报 Vol.25, No.12, December 2014 和 关 键 字 来 预 先 定 义 要 忽 略 的 网 页 链 接, 用 户 可 以 根 据 需 求 忽 略 某 些 链 接, 加 快 爬 取 速 度, 减 少 无 用 数 据. 用 户 也 可 以 定 义 需 要 提 取 的 内 容, 例 如 文 章 标 题 等, 辅 助 对 网 页 内 容 的 分 析. Fig.5 Structure of the crawling system 图 5 爬 取 系 统 结 构 图 (3) 版 本 控 制 与 文 件 存 储 网 页 会 实 时 快 速 变 化, 因 此 需 要 对 网 页 每 个 版 本 根 据 不 同 时 间 来 保 存. 通 过 版 本 控 制, 系 统 可 以 在 用 户 指 定 的 时 间 间 隔 内 检 测 网 页 是 否 发 生 变 化, 并 对 每 次 保 存 的 不 同 文 件 均 做 记 录. 通 过 设 置 HTTP Header 中 的 Last- Modified 字 段 来 实 现 文 件 的 缓 存 技 术, 对 于 返 回 为 304, 则 表 示 当 前 网 页 文 件 未 发 生 变 化, 无 需 再 次 保 存. 利 用 版 本 控 制 功 能, 在 节 省 数 据 存 储 空 间 的 同 时, 也 能 随 时 记 录 服 务 器 上 文 件 的 变 化 情 况. 保 存 下 的 文 件, 大 多 是 不 会 改 变 的 文 本 形 式 的 小 文 件, 可 以 存 储 于 基 于 MongoDB 的 分 布 式 文 件 存 储 系 统 中, 具 备 横 向 扩 展 功 能, 提 高 实 际 分 析 时 的 读 取 速 度. (4) DNS 缓 存 记 录 记 录 DNS 查 询 结 果, 使 得 取 证 服 务 器 如 果 遭 受 了 恶 意 DNS 欺 骗 攻 击, 也 能 够 正 确 区 分 错 误 结 果, 避 免 提 供 错 误 的 证 据, 确 保 整 个 取 证 过 程 的 可 信. (5) 网 页 重 建 取 证 的 社 交 网 页 内 容 实 时 变 化, 为 了 能 够 重 现 对 取 证 时 刻 的 网 页, 需 要 在 保 留 原 始 网 页 文 件 副 本 的 前 提 下, 修 改 和 重 定 向 网 页 中 的 链 接 内 容, 使 其 指 向 本 地 取 证 资 源, 随 后, 利 用 WEB 服 务 器 重 新 提 供 对 这 些 网 页 的 访 问 功 能. 在 开 始 取 证 时, 用 户 需 要 设 定 起 始 爬 取 网 址 爬 取 层 次 数 爬 取 方 式 以 及 过 滤 链 接. 设 置 完 毕 后, 网 络 爬 虫 会 自 动 根 据 相 关 设 置 执 行 主 动 取 证 任 务 ; 同 时, 网 络 嗅 探 程 序 会 开 始 嗅 探 DNS 和 HTTP 协 议 数 据 包, 并 记 录 保 存 到 本 地 证 据 固 定 根 据 网 络 爬 虫 的 爬 取 结 果, 每 次 访 问 一 个 链 接, 便 保 存 为 一 个 文 件. 保 存 的 内 容 不 经 过 任 何 修 改, 对 保 存 下 来 的 文 件 计 算 哈 希 值, 并 保 存 到 数 据 库 中, 作 为 证 据, 并 防 止 遭 受 后 期 的 篡 改 : hash 1 =f hash (file) (1) 此 外, 抓 取 时 间 抓 取 的 URL 地 址 都 是 证 据 的 重 要 部 分, 这 些 数 据 也 是 需 要 保 存 到 数 据 库 中 防 止 被 篡 改 ( 如 图 6 所 示 ):

9 吴 信 东 等 : 社 交 网 络 取 证 初 探 2885 hash 2 =f hash (file+time+url) (2) Fig.6 Components of an evidence item 图 6 证 据 组 成 完 整 的 一 组 证 据 内 容 包 括 网 页 文 件 时 间 戳 网 址, 表 1 列 出 了 对 取 证 所 得 到 的 部 分 文 件 与 对 应 的 哈 希 值. Table 1 Some crawling data from the wetsite of and their hash values 表 1 从 下 取 证 的 部 分 内 容 及 其 哈 希 值 序 号 抓 取 时 间 网 址 SHA b1e8db7cf746f459ea c 23:51:11 527d8f6d53d3d5d8a3a8d243fc9fb5d a139a76e ad54e330f :51:11 c23a4ca66576b11d6ed3b8439e739c b8c5b90a3043c7c572245d06c199569d 23:51:11 6b31c6a3dd85a7a476d5c50e949fcdd c83be886dde64561a202b2bc1f0caa1 23:51:11 b07ed792c902c ed3f1e e374e7a91aa4bfe28bfa4b5733ad99bc 23:51:11 d84a503e6dddb7fb25deec a9a b62476d5905b8e8d8b200327eb :51:15 a3f55171af2b fa4853c3b c3f a193dea7f4edd05d 23:51:15 fbca5ed2890ee40ba0bfe8d550e9e2d 再 现 过 程 保 存 下 的 内 容 只 是 文 本 文 件, 虽 然 可 以 直 接 进 行 浏 览, 但 是 其 中 包 含 了 大 量 的 HTML 标 记 语 言, 难 以 直 接 理 解. 为 了 有 效 地 在 法 庭 上 直 观 展 示 取 证 结 果, 需 要 将 这 些 文 本 内 容 中 重 现 在 浏 览 器 中. 默 认 取 证 得 到 的 是 原 始 网 页 文 件, 可 以 直 接 从 浏 览 器 中 打 开, 但 是 其 加 载 的 资 源 仍 然 为 Web 服 务 器 上 所 提 供 的 远 程 资 源, 一 旦 远 程 资 源 在 取 证 之 后 有 所 变 化, 会 导 致 显 示 错 误 的 内 容. 为 了 能 够 正 确 地 显 示 取 证 内 容, 需 要 对 保 存 的 内 容 进 行 修 改, 将 指 向 远 程 内 容 的 链 接 修 改 为 指 向 本 地 取 证 的 内 容, 使 其 调 用 取 证 时 所 保 存 的 相 关 资 源. 此 时 的 网 页 内 容 上 已 经 发 生 了 变 化, 仅 仅 只 能 作 为 辅 助 展 示 的 内 容, 而 不 是 原 始 证 据. 对 于 网 页 中 的 链 接, 需 要 使 用 HTML 解 析 器 从 中 解 析 出 可 用 链 接, 并 根 据 数 据 库 中 取 证 时 该 链 接 对 应 的 本 地 文 件, 替 换 为 本 地 链 接. 除 了 网 页 文 件 外,CSS 样 式 文 件 中 也 包 含 一 定 的 链 接 地 址, 需 要 进 行 解 析 和 重 定 向. 2.4 网 页 截 图 内 容 爬 取 层 所 固 定 的 文 件 可 以 提 供 大 量 的 证 据, 但 是 因 为 其 主 要 的 内 容 都 是 文 本 信 息, 因 此 在 抵 抗 篡 改 能 力 上 相 对 较 差. 虽 然 能 够 将 网 页 内 容 再 现 到 浏 览 器 中, 但 是 保 存 的 文 件 可 以 提 供 大 量 信 息, 但 是 这 些 信 息 多 为 带 有 大 量 冗 余 标 记 的 文 本 语 言, 并 不 是 可 视 直 观 的 内 容, 不 适 合 在 法 庭 上 直 接 出 示 给 无 相 关 专 业 知 识 的 控 辩 双 方. 此 外, 固 定 的 网 页 内 容 也 仍 然 存 在 一 定 的 被 篡 改 的 可 能 性. 为 了 提 高 可 信 度, 针 对 取 证 的 网 页, 在 取 证 过 程 中 实 时 进 行 网 页 截 图. 网 页 截 图 部 分 主 要 利 用 Webkit 模 块, 对 爬 取 的 内 容 进 行 渲 染 和 截 图. 本 部 分 的 具 体 实 现 利 用 Webkit 的 Python 封 装 接 口 实 现, 利 用 了 Python 语 言 具 有 的 快 速 开 发 功 能 强 大 等 特 点.Ghost.py 是 Webkit 在 Python 环 境 下 的 一 个 Web 客 户 端, 它 对 Webkit 的 功 能 进 行 集 成 后 封 装, 以 方 便 用 户 快 速 高 效 地 进 行 网 页 固 定 开 发. 本 文

10 2886 Journal of Software 软 件 学 报 Vol.25, No.12, December 2014 主 要 用 到 Ghost.py 的 网 页 解 析 模 块 Waiters 模 块 以 及 截 图 模 块. 具 体 过 程 是 : Step 1. 使 用 Ghost.py 提 供 的 网 页 打 开 模 块 把 HTTP 文 件 以 及 所 有 相 关 的 CSS 文 件 Javascript 文 件 和 图 片 文 件 等 加 载 到 本 地 HttpRessource 对 象 中. Step 2. 使 用 提 供 的 HTTP 解 析 模 块 中 URL 提 取 模 块 提 取 所 有 子 页 面 URL, 经 过 筛 选 后 加 入 等 待 队 列. Step 3. 使 用 截 图 模 块 把 本 地 缓 存 的 HttpRessource 对 象 保 存 为 经 过 解 析 的 网 页 图 片 并 保 存 在 本 地. Step 4. 对 等 待 队 列 中 待 处 理 的 URL 重 复 Step 1~Step 3, 直 至 等 待 处 理 队 列 为 空. 2.5 证 据 交 叉 验 证 通 过 3 层 内 容 固 定, 同 时 能 够 得 到 3 份 可 以 交 叉 验 证 的 证 据 : (1) 二 进 制 数 据 : 嗅 探 得 到 的 网 络 数 据 流 ; (2) 保 存 文 件 内 容 : 主 要 是 以 文 本 形 式 存 在 的 HTML 文 件 CSS 文 件 JavaScript 文 件 等 ; (3) 网 页 截 图 : 是 一 份 直 接 可 视 化 的 内 容. 对 于 这 3 份 证 据 副 本, 均 计 算 了 哈 希 值, 保 证 不 被 篡 改, 能 够 交 叉 印 证, 确 保 证 据 的 可 信 度, 即 使 其 中 一 份 被 篡 改 时, 也 仍 然 可 以 依 靠 三 者 之 间 的 交 叉 校 验, 能 够 确 保 相 关 数 据 的 原 始 性. 多 副 本 的 证 据 也 能 在 一 定 程 度 上 提 高 篡 改 的 难 度. 对 于 这 3 种 同 时 存 在 的 取 证 固 定 方 式, 可 以 根 据 不 同 层 次 形 式 同 时 记 录 来 保 证 取 证 数 据 的 正 确 性 以 及 不 可 被 篡 改 性. 一 旦 其 中 一 份 被 篡 改, 可 以 使 用 其 他 两 份 通 过 各 自 方 法 检 验 其 正 确 性, 甚 至 恢 复 被 篡 改 的 证 据. 由 于 HTTP 数 据 包 中 所 包 含 的 具 体 数 据 内 容 可 以 通 过 各 种 解 析 得 到 第 2 层 文 件 证 据 内 容, 并 且 第 1 层 向 第 2 层 的 提 取 过 程 是 不 可 逆 的 ; 而 HTTP 文 件 CSS 样 式 JavaScript 脚 本 等 文 件 与 网 页 截 图 是 多 对 一 的 关 系, 而 由 于 代 码 编 写 习 惯 等 因 素 存 在, 不 同 的 HTTP 文 件 CSS 样 式 JavaScript 脚 本 通 过 Webkit 的 解 析 和 页 面 渲 染 后 存 在 得 到 同 一 个 页 面 效 果 的 可 能 性 较 低, 并 且 当 初 的 网 页 渲 染 截 图 仅 仅 包 含 图 像 信 息, 因 此, 第 2 层 向 第 3 层 的 数 据 提 取 过 程 也 是 不 可 逆 的. 由 于 这 两 层 信 息 提 取 不 可 逆 关 系 的 存 在, 导 致 只 有 低 层 次 证 据 能 恢 复 高 层 次 的 证 据, 而 无 法 从 高 层 次 的 信 息 恢 复 得 到 更 加 丰 富 的 低 层 次 数 据. 假 设 只 有 第 3 层 的 数 据 被 篡 改, 可 以 使 用 第 1 层 的 数 据 通 过 模 拟 数 据 包 的 解 析 与 爬 虫 框 架 爬 取, 重 新 得 到 第 2 层 证 据, 再 与 第 2 层 数 据 作 对 比. 如 果 两 者 内 容 完 全 一 样, 则 证 明 证 据 依 旧 有 效. 也 可 以 经 过 被 还 原 的 第 2 层 证 据 或 原 始 的 第 2 层 证 据 来 恢 复 被 篡 改 的 第 3 层 数 据 ; 假 设 只 有 第 2 层 的 证 据 被 篡 改, 可 以 使 用 第 1 层 的 证 据 先 恢 复 出 第 2 层 的 数 据, 再 由 恢 复 出 的 证 据 提 取 出 第 3 层 的 证 据, 再 与 原 始 的 第 3 层 数 据 作 对 比. 如 果 两 者 内 容 一 致, 则 证 明 证 据 有 效 ; 假 设 只 有 第 1 层 的 证 据 被 篡 改, 由 于 第 1 层 证 据 提 取 的 不 可 逆 性, 导 致 不 能 完 全 恢 复 第 1 层 的 证 据. 只 能 使 用 第 2 层 的 证 据 提 取 后 与 第 3 层 的 证 据 做 对 比, 如 果 两 者 内 容 一 致, 则 证 明 证 据 有 效. 3 社 交 网 页 取 证 数 据 分 析 社 交 网 页 相 比 一 般 的 网 页 有 着 特 定 的 访 问 权 限 与 隐 私 设 置, 这 意 味 着 用 户 并 不 是 简 单 地 将 自 己 的 信 息 公 开 在 网 上, 可 以 选 择 性 地 针 对 不 同 的 人 群 进 行 公 开. 社 交 网 页 的 限 制 主 要 有 两 种 情 况 : (1) 网 站 本 身 的 限 制 需 要 用 户 登 录 后, 才 能 ( 完 整 ) 看 到 用 户 公 开 的 内 容, 例 如 新 浪 微 博 等. 对 于 这 种 限 制, 网 络 爬 虫 可 以 模 拟 用 户 登 录 动 作, 获 得 登 录 后 的 会 话, 最 终 获 取 用 户 内 容 的 访 问 权 限. (2) 用 户 指 定 隐 私 限 制 用 户 只 对 指 定 的 浏 览 者 开 放 浏 览 权 限, 普 通 浏 览 者 无 法 获 取 这 些 内 容, 例 如 人 人 网 QQ 空 间 等, 只 有 成 为 好 友 用 户 才 能 访 问 主 页 内 容. 这 时 候, 如 果 需 要 固 定 这 些 内 容, 则 需 要 取 证 网 站 提 供 相 应 的 授 权 和 权 限.

11 吴 信 东 等 : 社 交 网 络 取 证 初 探 文 本 内 容 分 析 微 博 中 的 文 本 是 用 户 发 布 最 多 的 信 息 形 式, 同 时, 新 浪 微 博 也 以 多 种 形 式 扩 展 了 文 本 的 内 容, 使 得 单 一 的 文 本 能 够 含 有 更 多 的 含 义, 这 些 扩 展 形 式 如 下 : 符 号 表 示 文 本 中 提 到 某 人 ; (2) # 符 号 表 示 涉 及 到 某 个 话 题 ; (3) // 符 号 表 示 其 后 内 容 为 他 人 发 表, 可 以 是 对 另 一 用 户 内 容 的 回 复, 或 者 是 直 接 转 发. 通 过 对 这 些 文 本 内 容 的 分 析, 可 以 了 解 到 微 博 内 容 中 的 相 关 话 题 参 与 者 等 信 息. 这 一 部 分 主 要 涉 及 到 对 文 本 内 容 的 分 割 与 提 取, 利 用 微 博 中 含 有 特 定 含 义 的 字 符 对 文 本 内 容 进 行 分 割, 提 取 出 评 论 转 发 内 容 话 题 与 提 到 的 人 等 信 息. 3.2 文 本 感 情 色 彩 分 析 随 着 互 联 网 的 迅 速 发 展, 社 交 网 络 也 呈 现 出 爆 炸 性 的 增 长. 大 量 微 博 数 据 的 出 现, 已 经 严 重 地 影 响 了 人 工 取 证 速 度, 增 加 了 大 量 的 时 间 成 本 和 人 工 费 用, 也 严 重 影 响 了 取 证 工 作 的 效 率. 为 此, 开 发 出 一 种 能 够 自 动 甄 别 微 博 文 本 感 情 色 彩 并 快 速 分 析 和 分 类 的 功 能 迫 在 眉 睫. 基 于 文 本 的 情 感 分 析 是 一 个 复 杂 的 交 叉 研 究, 它 涉 及 多 项 研 究, 例 如 数 据 挖 掘 自 然 语 言 处 理 机 器 学 习 等 等. 基 于 文 本 的 情 感 分 析 主 要 包 括 机 器 学 习 方 法 和 语 义 分 析 的 方 法 : 基 于 语 义 的 情 感 分 析 一 般 由 现 有 字 典 或 者 词 库 拓 展 生 成 不 同 语 义 倾 向 的 语 义 库, 利 用 语 义 分 析 等 方 法 实 现 对 文 本 的 情 感 识 别 ; 基 于 机 器 学 习 的 情 感 分 析 一 般 方 法 有 根 据 句 子 句 义 分 词 提 取 特 征 和 计 算 权 值, 再 通 过 训 练 库 对 分 类 器 进 行 训 练 后 由 分 类 器 进 行 分 类. 短 文 本 的 独 特 性 有 : 长 度 很 短, 微 博 的 长 度 一 般 被 限 定 到 140 字 内 ; 不 规 范 的 语 句 多, 交 互 性 强, 语 义 分 析 艰 难, 存 在 大 量 的 新 词 和 变 形 词, 并 且 特 征 词 数 量 少. 由 于 这 些 特 征, 微 博 短 文 本 中 所 包 含 的 感 情 色 彩 分 析 一 直 是 难 题. 因 为 短 文 本 语 义 分 析 艰 难, 本 文 采 用 机 器 学 习 的 方 法 进 行 情 感 分 析. 本 节 使 用 常 见 的 正 负 词 词 汇 组 成 的 传 统 情 感 词 典, 并 且 在 词 典 中 添 加 最 近 新 出 现 的 网 络 词 汇, 组 成 适 用 于 微 博 情 感 分 析 的 情 感 字 典. 由 分 词 系 统 提 取 出 文 本 主 要 词 语, 利 用 情 感 词 典 提 取 文 本 的 情 感 特 征 值, 再 用 朴 素 贝 叶 斯 分 类 器, 利 用 提 取 出 的 特 征 值 对 文 本 进 行 分 类. 本 文 使 用 了 基 于 统 计 的 分 词 算 法 : 首 先, 基 于 Trie 树 结 构 实 现 高 效 的 词 图 扫 描, 生 成 句 子 中 所 有 可 能 成 词 情 况 所 构 成 的 有 向 无 环 图 (DAG); 采 用 动 态 规 划, 从 有 向 无 环 图 中 找 到 最 大 概 率 路 径, 找 到 基 于 词 频 的 最 大 组 合 ; 对 于 未 找 到 的 词 组, 使 用 HMM 模 型 进 行 分 词 [16]. 本 文 使 用 的 特 征 提 取 方 法 为 基 于 词 典 的 正 负 词 词 频. 使 用 经 过 扩 展 的 微 博 情 感 字 典 与 文 本 分 词 得 出 数 据 进 行 比 对, 即 得 到 一 个 dict, 键 为 字 典 中 的 词, 值 为 该 词 在 句 子 中 出 现 的 次 数, 并 使 用 该 dict 结 构 作 为 特 征 值. 通 过 微 博 文 本 情 感 色 彩 分 析, 可 以 在 社 交 网 络 的 海 量 数 据 中 查 找 到 潜 在 的 犯 罪 证 据 或 嫌 疑, 缩 小 取 证 范 围, 加 速 取 证 过 程 和 提 高 准 确 性. 有 些 与 犯 罪 行 为 关 联 度 高 的, 也 可 以 作 为 法 庭 上 使 用 的 相 关 网 络 犯 罪 的 佐 证. 3.3 位 置 信 息 提 取 当 用 户 使 用 移 动 设 备 发 布 微 博 时, 可 以 选 择 将 由 手 机 获 得 的 位 置 信 息 附 带 发 送 到 微 博 上. 这 些 位 置 信 息 体 现 了 用 户 的 移 动 轨 迹 与 出 现 场 所, 是 重 要 的 取 证 内 容. 手 机 等 移 动 设 备 的 定 位, 主 要 是 基 于 手 机 通 信 基 站 位 置 确 定 具 体 位 置 的, 部 分 设 备 也 会 根 据 内 置 的 GPS 和 WIFI 连 接 到 的 无 线 网 络 进 行 定 位. 对 于 新 浪 微 博 等 大 公 司, 通 过 对 用 户 位 置 信 息 的 搜 集, 可 以 对 3 种 定 位 方 式 的 定 位 结 果 进 行 交 叉 比 对, 最 终 达 到 较 高 的 定 位 精 度. 虽 然 定 位 结 果 并 不 能 非 常 精 确, 但 是 仍 然 可 以 作 为 用 户 活 动 地 点 的 一 个 实 际 证 据. 新 浪 微 博 主 要 利 用 了 谷 歌 和 高 德 地 图 提 供 的 地 图 服 务. 每 当 用 户 发 送 位 置 时, 新 浪 微 博 会 直 接 在 微 博 消 息 中 附 带 上 当 前 地 点 的 附 近 地 点 的 一 个 名 称, 然 后 将 详 细 的 地 址 映 射 为 一 个 短 连 接, 如 的 形 式. 还 原 此 链 接 之 后, 能 够 得 到 一 个 显 示 该 地 点 详 细 位 置 的 网 页, 该 网 页 包 含 经 纬 坐 标. 通 过 解 析 这 个 网 页, 可 以 获 取 比 较 精 确 的 位 置.

12 2888 Journal of Software 软 件 学 报 Vol.25, No.12, December 2014 位 置 链 接 包 含 两 种 形 式 : (1) 明 文 经 纬 度 解 析 后 的 位 置 链 接 形 如 其 中,AA.aaa 和 BB.bbb 分 别 是 经 度 纬 度 的 坐 标. 通 过 这 两 个 数 值 可 以 直 接 地 图 定 位. (2) 转 码 网 址 解 析 后 的 位 置 链 接 形 如 包 含 一 串 16 进 制. 当 定 位 到 的 位 置 是 一 个 商 业 性 地 点 时, 会 采 用 这 种 链 接 形 式, 并 附 带 有 一 定 的 商 业 宣 传 广 告. 通 过 对 这 个 网 页 进 行 进 一 步 的 解 析, 可 以 从 中 提 取 出 地 图 的 经 纬 度. 本 节 以 微 博 用 户 Tinyfool 为 例, 对 其 进 行 了 位 置 取 证 实 验.Tinyfool 是 国 内 知 名 的 IOS 开 发 者, 在 微 博 上 非 常 活 跃, 近 期, 他 从 上 海 到 杭 州 进 行 了 一 次 游 玩, 并 在 相 关 微 博 中 发 布 了 相 关 的 地 点 信 息. 通 过 对 其 近 期 的 微 博 数 据 的 爬 取, 总 共 获 得 了 13 条 与 此 次 旅 行 相 关 的 含 有 位 置 信 息 的 微 博, 见 表 2 和 如 图 7 所 示. Table 2 Detailed information of Tinyfool s locations 表 2 Tinyfool 近 期 活 动 地 点 的 详 细 信 息 时 间 地 点 名 称 精 确 坐 标 经 度 纬 度 :33 上 海 市 虹 桥 火 车 站 :46 上 海 市 动 物 园 / 虹 桥 机 场 :24 上 海 市 宁 路 / 七 浦 路 :02 上 海 市 五 角 场 :26 上 海 市 96 广 场 :37 杭 州 市 南 庄 兜 枢 纽 :11 杭 州 市 迪 臣 南 路 :22 杭 州 市 迪 臣 南 路 :43 杭 州 市 花 蒋 路 :06 杭 州 市 留 祥 路 :26 杭 州 市 新 井 路 :15 嘉 兴 市 长 安 互 通 :30 上 海 市 机 场 南 路 Fig.7 Tinyfool s location path 图 7 Tinyfool 位 置 轨 迹 图 通 过 社 交 网 络 中 用 户 关 键 位 置 信 息 的 提 取, 结 合 相 关 案 例 及 其 时 间 信 息, 可 以 形 成 有 效 的 证 据 链, 可 以 为 相 关 案 件 提 供 法 律 上 的 佐 证.

13 吴 信 东 等 : 社 交 网 络 取 证 初 探 人 脸 图 像 识 别 与 标 注 随 着 手 机 等 移 动 设 备 的 普 及, 人 们 能 够 随 时 随 地 在 社 交 网 站 上 发 布 照 片, 而 发 表 自 己 或 者 与 他 人 的 合 影 俨 然 已 经 成 为 一 种 时 尚. 对 于 计 算 机 取 证 而 言, 图 像 是 重 要 的 取 证 对 象, 而 含 有 人 脸 的 图 像 则 能 够 表 明 人 的 行 为 和 人 与 人 之 间 的 密 切 关 系, 是 取 证 过 程 中 需 要 重 点 关 注 的 内 容. 但 是 社 交 网 页 中 的 图 片 数 据 量 巨 大, 仅 仅 依 靠 人 力 去 进 行 低 效 的 人 脸 分 类 辨 别 是 一 件 几 乎 不 可 能 完 成 的 任 务. 因 此, 需 要 依 靠 技 术 手 段 实 现 对 人 脸 图 片 的 自 动 [17] 发 掘 标 注 和 识 别. 本 文 利 用 AdaBoost 人 脸 识 别 方 法 和 SVM 训 练 器 实 现 了 在 社 交 网 页 下 自 动 发 现 识 别 人 脸, 依 靠 已 有 的 手 工 标 注 内 容, 自 动 对 为 标 注 人 脸 进 行 匹 配 标 注, 在 一 定 程 度 上 降 低 了 社 交 网 络 取 证 中 人 脸 发 现 和 识 别 的 难 度, 提 高 了 取 证 效 率. (1) 人 脸 提 取 人 脸 识 别 的 第 1 步 需 要 检 测 到 图 像 中 的 人 脸, 然 后 将 人 脸 部 分 的 图 像 区 域 提 取 出 来. 本 系 统 主 要 利 用 AdaBoost 级 联 分 类 器, 该 分 类 器 是 目 前 比 较 成 熟 的 人 脸 检 测 算 法, 在 OpenCV 库 中 有 较 为 成 熟 的 级 联 分 类 器 代 码 实 现 与 较 全 面 的 人 脸 模 型, 利 用 现 有 的 算 法 库, 可 以 方 便 地 从 图 像 中 识 别 出 人 脸. (2) 人 脸 矫 正 经 过 初 步 的 人 脸 检 测, 可 以 提 取 出 AdaBoost 级 联 分 类 器 检 测 出 的 人 脸. 但 是 提 取 出 的 脸 都 不 一 定 是 正 脸, 经 常 会 出 现 倾 斜 甚 至 翻 转 的 人 脸, 这 时 会 对 以 后 的 人 脸 标 注 产 生 不 利 的 影 响. 为 解 决 这 个 问 题, 可 以 利 用 人 脸 中 的 眼 睛 来 做 人 脸 姿 态 判 定, 通 过 合 成 平 均 滤 波 器 (ASEF) 来 识 别 并 判 断 双 眼 的 位 置, 并 最 终 确 定 人 脸 的 中 间 位 置, 再 加 以 辅 助 调 整 人 脸 姿 态, 能 够 有 效 提 高 后 续 标 记 效 果. (3) 提 取 人 脸 特 征 将 调 整 好 姿 态 的 人 脸 切 割 为 像 素 图 片, 然 后 使 用 高 通 滤 波 器 滤 波 以 减 少 灯 光 对 图 片 的 影 响, 再 经 过 主 成 分 分 析 (PCA) 提 取 特 征 值 后, 放 入 SVM 分 类 器 中 进 行 分 类. (4) 人 脸 手 动 与 被 动 标 注 对 于 最 初 几 次 出 现 的 人 脸, 需 要 手 动 地 添 加 标 签, 添 加 标 签 后, 根 据 分 类 结 果 决 定 是 否 继 续 添 加 或 更 正 标 签. 一 般 性 情 况 下, 每 张 人 脸 前 几 次 的 标 签 均 需 要 手 动 进 行 更 正 与 重 新 标 注, 但 当 标 注 次 数 达 到 一 定 程 度, 分 类 正 确 率 到 达 阈 值,SVM 分 类 器 可 以 自 动 对 人 脸 进 行 较 高 准 确 率 的 标 注, 对 后 续 标 注 的 内 容, 仍 然 会 自 动 提 取 特 征 并 添 加 到 相 应 训 练 库 中, 达 到 训 练 库 自 动 训 练 自 动 识 别 自 动 标 注 的 效 果. 本 次 实 验 选 取 的 图 像 来 自 社 交 网 络 图 片 ( 林 志 颖 王 诗 龄 李 湘 和 何 炅 这 4 位 名 人 的 微 博 ). 各 取 25 张 图 片 进 行 实 验. 对 100 张 微 博 原 始 图 片 使 用 AdaBoost 算 法 进 行 人 脸 检 测, 并 切 割 成 固 定 大 小. 检 测 效 果 可 见 表 3: 王 诗 龄 的 识 别 率 是 最 低 的, 通 过 重 新 观 察 所 选 取 的 照 片 发 现, 原 因 是 儿 童 拍 照 时 并 不 如 其 他 成 人 那 样 始 终 保 持 正 脸, 会 出 现 大 量 的 侧 脸 与 歪 脸, 正 是 这 些 侧 脸 与 歪 脸 导 致 了 人 脸 的 识 别 成 功 率 较 低 ; 李 湘 的 识 别 率 最 高, 全 部 识 别 成 功, 因 为 相 比 何 炅 和 林 志 颖, 李 湘 的 微 博 照 片 中 人 脸 都 是 正 脸 居 多. Table 3 Detection rates of face recognition 表 3 人 脸 检 测 识 别 率 林 志 颖 何 炅 李 湘 王 诗 龄 总 样 本 数 检 测 成 功 数 检 测 成 功 率 (%) 针 对 已 提 取 到 的 人 脸 图 像 进 行 裁 剪 和 调 整, 整 理 后 见 表 4. 从 识 别 成 功 的 图 像 中 各 抽 出 5 张 作 为 训 练 集, 将 剩 下 的 作 为 测 试 集. 例 如 : 王 诗 龄 识 别 成 功 的 17 张 照 片 中,5 张 作 为 训 练 集, 剩 下 的 12 张 作 为 测 试 集 进 行 测 试. 测 试 结 果 见 表 5, 可 以 发 现 : 李 湘 照 片 的 标 签 识 别 率 最 低, 主 要 原 因 是 因 为 李 湘 经 常 化 妆, 而 其 他 3 人 浓 妆 照 片 的 数 量 与 李 湘 相 比 明 显 较 少, 因 而 识 别 成 功 率 比 李 湘 高 ; 王 诗 龄 识 别 率 依 然 较 低, 原 因 仍 然 是 人 脸 姿 势 非 常 多 样 化.

14 2890 Journal of Software 软 件 学 报 Vol.25, No.12, December 2014 Table 4 Results of face recognition in a social network 表 4 社 交 网 络 中 人 脸 检 测 结 果 林 志 颖 何 炅 李 湘 王 诗 龄 Table 5 Testing rates of face recognition (%) 表 5 人 脸 识 别 效 果 测 试 (%) 训 练 图 片 数 量 林 志 颖 何 炅 李 湘 王 诗 龄 在 社 交 网 页 取 证 系 统 中, 会 根 据 用 户 发 表 的 微 博 中 的 图 片 自 动 筛 选 含 有 人 脸 的 照 片, 并 对 其 进 行 标 注, 如 图 8 所 示. 如 果 系 统 给 出 错 误 的 标 注, 则 用 户 可 以 直 接 进 行 修 改, 重 新 标 注. 结 果 多 次 迭 代 之 后, 可 以 达 到 较 高 的 人 脸 识 别 率. Fig.8 A face recognition interface in Weibo forensics 图 8 微 博 取 证 人 脸 识 别 界 面

15 吴 信 东 等 : 社 交 网 络 取 证 初 探 总 结 和 展 望 目 前, 传 统 的 计 算 机 取 证 技 术 由 于 社 交 网 络 取 证 信 息 的 多 样 动 态 ( 实 时 ) 海 量 和 交 互 等 特 点 而 不 再 适 合, 亟 需 发 展 面 向 社 交 网 络 取 证 的 新 型 取 证 模 型 和 计 算 方 法. 针 对 社 交 网 页 取 证 证 据 收 集 困 难 问 题 和 证 据 可 信 问 题, 本 文 提 出 了 一 种 取 证 方 法 主 动 通 过 网 络 爬 虫 对 网 页 数 据 进 行 取 证 的 方 案, 设 计 了 3 层 取 证 模 型 框 架, 通 过 不 同 层 次 间 的 证 据 验 证, 确 保 取 证 内 容 的 可 信 度 ; 将 证 据 重 现, 使 其 能 够 被 直 观 有 效 地 展 示, 提 高 了 证 据 的 可 理 解 性. 针 对 社 交 网 络 中 ( 与 人 交 互 的 ) 证 据 的 交 互 性 和 复 杂 性 问 题, 本 文 针 对 社 交 网 页 中 包 含 的 文 本 位 置 人 脸 图 像 等 重 要 信 息 进 行 取 证. 对 用 户 微 博 位 置 进 行 定 位, 显 示 到 地 图 上 绘 制 行 为 路 径 ; 自 动 提 取 含 有 人 脸 的 图 像, 结 合 人 工 标 记 和 自 动 预 测 的 手 段 标 记 人 脸 ; 对 文 本 的 情 感 色 彩 进 行 提 取, 展 示 用 户 的 情 绪 波 动. 通 过 上 述 方 法, 自 动 提 取 信 息, 提 高 了 在 社 交 网 页 中 取 证 效 率, 降 低 分 析 难 度, 提 供 更 加 直 观 和 可 以 被 法 庭 理 解 和 接 受 的 证 据. 本 文 针 对 社 交 网 络 的 取 证, 在 网 页 数 据 获 取 网 站 内 容 分 析 等 方 面 进 行 了 初 步 探 索. 如 何 在 海 量 复 杂 的 社 交 网 络 数 据 中 快 速 而 有 效 地 收 集 检 索 分 析 和 展 示 客 观 真 实 完 整 丰 富 可 理 解 而 且 有 针 对 性 的 证 据, 需 要 进 一 步 系 统 而 深 入 地 展 开 研 究. 社 交 网 站 中 重 要 的 信 息 是 用 户 关 系, 本 文 还 没 有 对 社 交 网 站 用 户 关 系 进 行 详 细 的 取 证 和 分 析, 在 我 们 的 后 续 研 究 中, 需 要 进 一 步 对 用 户 关 系 进 行 取 证, 并 挖 掘 人 群 所 属 社 群, 以 便 用 于 取 证 侦 查. 此 外, 结 合 具 体 的 社 交 网 络 犯 罪 模 式 与 相 关 案 例, 提 出 针 对 性 的 取 证 模 型 和 方 法 研 究, 也 是 未 来 的 研 究 方 向 之 一. References: [1] Wall D. Cybercrime: The Transformation of Crime in the Information Age. Polity, [2] Dixon PD. An overview of computer forensics. Potentials, IEEE, 2005,24(5):7 10. [doi: /MP ] [3] Garnkel SL. Digital forensics research: The next 10 years. Digital Investigation, 2010,7: [doi: /j.diin ] [4] Kozushko H, Digital evidence [5] Agarwal A, Gupta M, Gupta S, Gupta SC. Systematic digital forensic investigation model. Int l Journal of Computer Science and Security (IJCSS), 2011,5(1): [6] Pilli ES, Joshi RC, Niyogi R. A generic framework for network forensics. Int l Journal of Computer Applications, 2010,1(11). [7] Slay J, Simon M, Irwin D. Voice over IP and forensics: A review of recent Australian work. In: Proc. of the 1st Int l Conf. on Digital Forensics and Investigation (ICDFI). Beijing, [8] Meghanathan N, Allam SR, Moore LA. Tools and techniques for network forensics. Int l Journal of Network Security & Its Applications (IJNSA), 2009,4,1(1): [9] Zhong LD. Forensic analysis of Web browser with dual layout engine. In: Proc. of the 1st Int l Conf. on Digital Forensics and Investigation (ICDFI). Beijing, [10] Kent K, Chevalier S, Grance T, Dang H. Guide to integrating forensics into incident response publications/nistpubs/800-86/sp pdf [11] Erbacher RF, Christensen K, Sundberg A. Visual network forensic techniques and processes. In: Proc. of the 9th Annual NYS Cyber Security Conf. Symp. on Information Assurance [12] Wu CS, Qiu M. The method for obtaining electronic evidence from ASP dynamic website. Forensic Science and Technology, 2010,(5):43 45 (in Chinese with English abstract). [13] Ruan KY, Carthy J, Kechadi T, Crosbie M. Cloud forensics: An overview. In: Proc. of the Advances in Digital Forensics VII [14] Li YD, Hu DH, Fan YQ, Wu XD. Web page forensics: A Web spider based approach. In: Proc. of the 2nd Int l Conf. on Digital Forensics and Investigation (ICDFI) [15] Huber M, Mulazzani M, Leithner M, Schrittwieser S, Wondracek G, Weippl E. Social snapshots: Digital forensics for online social networks. In: Proc. of the 27th Annual Computer Security Applications Conf. (ACSAC 2011) [doi: / ]

16 2892 Journal of Software 软 件 学 报 Vol.25, No.12, December 2014 [16] Qian X, Zhang Q, Huang XJ, Wu LD. 2D Trie for fast parsing. In: Proc. of the 23rd Int l Conf. on Computational Linguistics (COLING 2010). Beijing: Association for Computational Linguistics, [17] Bolme DS, O Hara S. PyVision Computer vision toolkit 附 中 文 参 考 文 献 : [12] 吴 春 生, 邱 敏.ASP 动 态 网 站 信 息 电 子 取 证 方 法. 刑 事 技 术,2010,(5): 吴 信 东 (1963-), 男, 博 士, 教 授, 博 士 生 导 师,IEEE Fellow,AAAS Fellow, 主 要 研 究 领 域 为 数 据 挖 掘, 知 识 库 系 统, 万 维 网 信 息 开 采. xwu@hfut.edu.cn 胡 东 辉 (1973-), 男, 博 士, 副 教 授,CCF 会 员, 主 要 研 究 领 域 为 网 络 信 息 可 信 度 量, 数 字 取 证 和 隐 私 保 护. hudh@hfut.edu.cn 李 亚 东 (1989-), 男, 硕 士, 主 要 研 究 领 域 为 计 算 机 取 证. liyadong.hfut@gmail.com