论文投稿_医学论文投稿_核心期刊,职称论文投稿发表_论文部落

　　图片检查工具。ThumbsPlus是一个功能很全面的进行图片检查的工具。

　　反删除工具。这方面的取证分析工具中最主要的是诺顿工具，虽然这是一个老式的工具，但在有些时候是很有用的。

　　CD-ROM工具。使用CD-RDiagnostics可以看到在一般情况下看不到的数据。

　　文本搜索工具。dtSearch是一个很好的用于文本搜索的工具，特别是具有搜索Outlook的.pst文件的能力。

　　驱动器映像程序。可以满足取证分析（即逐位拷贝以建立整个驱动器的映像）的磁盘映像软件，包括：SafeBack(http://www.forensics-intl.com)，SnapBack(http://www.cdp.com)，Ghost(http://symantec.com)，dd(UNIX中的标准工具)等.

　　磁盘擦除工具.这类工具主要用在使用取证分析之前，为了确保分析机器的驱动器中不包含残余数据，显然，只是简单的格式化肯定不行.从软盘启动后运行NTI公司的DiskScrub程序即可把硬盘上的每一扇区的数据都清除掉。

　　取证程序.取证软件的效能倾向于同时拥有收集及分析数据的功能.目前，国际上的主流产品有：

　　ForensicToolkit是一系列基于命令行的工具，可以帮助推断WindowsNT文件系统中的访问行为.这些程序包括的命令有:AFind(根据最后访问时间给出文件列表，而这并不改变目录的访问时间)、HFind(扫描磁盘中有隐藏属性的文件)、SFind(扫描整个磁盘寻找隐藏的数据流)、FileStat(报告所有单独文件的属性)、NTLast(提供标准的GUI事件浏览器之外对每一个会话都记录了登录及登出时间，并且它能够指出登录是远程的还是本地的)。

　　TheCoroner'sToolkit(TCT)主要用来调查被"黑"的Unix主机，它提供了强大的调查能力，它的特点是可以对运行着的主机的活动进行分析，并捕获目前的状态信息.其中的grove-robber可以收集大量的正在运行的进程、网络连接以及硬盘驱动器方面的信息.数据基本上以挥发性顺序收集，收集所有的数据是个很缓慢的过程，要花上几个小时的时间.TCT还包括数据恢复和浏览工具unrm&lazarus、获取MAC时间的工具mactime.另外，还包括一些小工具，如ils(用来显示被删除的索引节点的原始资料)、icat(用于取得特定的索引节点对应的文件的内容)等等。

　　EnCase自称是唯一一个完全集成的基于Windows界面的取证应用程序，其功能包括:数据浏览、搜索、磁盘浏览、数据预览、建立案例、建立证据文件、保存案例等.

　　ForensicX主要运行于Linux环境，是一个以收集数据及分析数据为主要目的的工具.它与配套的硬件组成专门工作平台.它利用了Linux支持多种文件系统的特点，提供在不同的文件系统里自动装配映像的能力，能够发现分散空间里的数据，可以分析Unix系统是否含有木马程序.其中的Webtrace可以自动搜索互联网上的域名，为网络取证进行必要的收集工作，新版本具有识别隐藏文件的工具。

　　NewTechnologiesIncorporated(NTI，http://www.forensics-intl.com)是取证软件最为固定的商家之一.NTI以命令的形式执行软件，所以速度很快，软件包的体积小，适合于在软盘上使用.该公司提供的取证工具包括：CRCMD5:可以验证一个或多个文件内容的CRC工具。

　　DiskScrub:用于清除硬盘驱动器中所有数据的工具.

　　DiskSig:CRC程序，用于验证映像备份的精确性.

　　FileList:磁盘目录工具，用来建立用户在该系统上的行为时间表.

　　Filter_we:-种用于周围环境数据的智能模糊逻辑过滤器.

　　GetSlack:-种周围环境数据收集工具，用于捕获未分配的数据.

　　GetFile:-种周围环境数据收集工具，用于捕获分散的文件.