电子取证论坛 新一代操作系统Win10取证 徐志强 (Henry Tsui) 美亚柏科,技术专家委员会(MTEC)首席技术专家 美亚柏科, 企业电子数据取证事业部总经理 中国政法大学, 法务会计研究中心特聘研究员 江西警察学院, 计算机犯罪中心特聘研究员 中华全国律师协会信息网络与高新技术专委会特邀委员 南昌大学, 工程硕士专业学位研究生导师 福建省公共网络信息安全协会专家组专家 中国刑事警察学院，客座讲师 _______________________________________________ • 美国EnCase认证调查员(EnCE)、EnCase认证讲师 • 美国ISC2认证电子取证专家(CCFP) • 中国电子数据取证调查员(MCE) • 美国高科技犯罪调查协会会员(HTCIA) • 美国注册舞弊审查师协会会员(ACFE) 内容  WIN10系统新特性  操作系统痕迹取证  未来研究工作 WINDOWS新特性 WIN10版本 微软Win10操作系统共有七大版本：        Windows Windows Windows Windows Windows Windows Windows 10家庭版（Windows 10 Home） 10专业版（Windows 10 Pro） 10企业版（Windows 10 Enterprise） 10教育版（Windows 10 Education） 10移动版（Windows 10 Mobile） 10企业移动版（Windows 10 Mobile Enterprise） 10 IoT Core（物联网专用版） WINDOWS版本差异 类别 Windows 7 Windows 8 Windows 10 Windows 7 简易版 Windows 7 家庭普通版 Windows 8 标准版 Windows 10 家庭版 Windows 7 专业版 Windows 8 专业版 Windows 10 专业版 Windows 7 旗舰版 Windows 8 企业版 Windows 10 企业版 N/A Windows 8 学生版 Windows 10 教育版 Windows Phone 8.1 Windows 10 移动版 Windows RT Windows 10 企业移动版 N/A Windows 10 IoT Core物联网 Windows 7 家庭高级版 个人电脑 PC 移动终端 物联网 Windows Phone 8.0 N/A WINDOWS新特性 Cortana 个人助理 • 支持执行各种任务（邮件、提醒、日历、搜索等） WINDOWS新特性 Windows Hello • 支持指纹、面部、虹膜等多种生物特征进行安全身份验证 WINDOWS新特性 OneDrive 云存储 • Win10无缝地与OneDrive整合，让用户使用云存储更加方便 快捷。 WINDOWS新特性 Skype • Win10默认自带Skype链接，用户点击时即可方便下载安装。 WINDOWS新特性 新一代高效浏览器Edge • 支持在网页上书写涂鸦、标注与信息分享等新特性。 WINDOWS新特性 多任务窗口并排显示 • WINDOWS新特性 Continuum模式 • 用于判断用户的 2 合 1 设备使用的是笔记本电脑模式还是平 板电脑模式，系统会询问用户是否调整到最适合当前模式的 输入方式，以便更快速的处理任务。 内容  WIN10系统新特性  操作系统痕迹取证  未来研究工作 操作系统痕迹 1. 分区变化 Win10在首次安装过程中进行分区格式化时，自动预留500MB 的分区空间，用于存储引导程序(Boot loader)。 操作系统痕迹 2. 回收站($Recycle.bin) Win10与Win7/8/8.1的回收站有相似的运作机制，每个删除对 象均有一个$R前缀文件和$I前缀文件（包含原始文件的相关信息）。 操作系统痕迹 2. 回收站($Recycle.bin) Win10与Win7/8/8.1中的$I文件结构存在差异。 操作系统痕迹 2. 回收站($Recycle.bin) Windows 8.1 Windows 10 文件首字节为01 文件首字节为02 文件路径偏移位置为24 文件路径偏移位置为28 偏移位置24所在位置为4个未 知字节 文件路径长度为520字节 文件路径长度取决于文件路径 长度值 操作系统痕迹 3. 缩略图缓存(Thumb cache) 早期的WinXP系统采用thumbs.db存储同一个文件夹中的缩略 图数据。Win7开始采用集中式存储，并存储于thumbcache*.db 中。Win8/8.1系统既有集中存储的thumbcache*.db，在每个文 件夹中也有各自的thumb.db。Win10系统和Win7相同，只有集 中存储的thumbcache*.db，然而结果略微不同。 操作系统痕迹 3. 缩略图缓存(Thumb cache) %systemdrive%\Users\<USERNAME>\AppData\Local\Microsoft\ Windows\Explorer 操作系统痕迹 4. OneDrive %systemdrive%\Users\<USERNAME>\Appdata\Local\Microsoft \Windows\OneDrive\logs