[發明專利]一種遠程服務器取證的系統和方法

有效

• 申請號: 201811499145.5
• 申請日: 2018-12-08
• 公開（公告）號: CN109587141B
• 公開（公告）日: 2022-01-28
• 發明（設計）人: 石奧迪;吳松洋;劉善軍;張鶴
• 申請（專利權）人: 公安部第三研究所
• 主分類號: H04L67/133
• 分類號: H04L67/133;H04L67/141
• 代理公司: 上海天翔知識產權代理有限公司 31224
• 代理人: 劉常寶

本發明公開了一種遠程服務器取證的系統和方法，本方案基于SSH協議/Windows remote management服務與待取證遠程服務器建立會話，然后對待取證服務器進行數據取證；再采用RPC傳輸協議直接位對位復制待取證遠程服務器磁盤數據。本方案無需增加遠程服務器存儲負擔，直接位對位復制遠程服務器磁盤數據，并且無需人為對遠程服務器進行任何操作，全程秘密無感進行。

技術領域

本發明涉及電子取證技術，具體涉及遠程服務器的取證技術。

背景技術

隨著計算機技術、網絡技術以及信息技術的發展，“云存儲”已經成為越來越多應用和網站的首選技術，然而由于服務器分布廣泛且物理位置無法獲知的問題，對服務器的電子數據的收集和提取變得十分困難。

目前已有的技術在固定遠程服務器磁盤數據時多采用直接備份到遠程服務器的本地存儲上或者在遠程服務器上面增加磁盤來達到目的，此兩種做法均無法做到遠程地、秘密地、無感地取證，且會增加遠程服務器存儲負擔。

發明內容

針對現有電子數據取證方案在固定遠程服務器磁盤數據時所存在的問題，需要一種新的遠程服務器數據取證方案。

為此，本發明的目的在于提供一種遠程服務器取證的系統，并基于該系統提供一種遠程服務器取證的方法，據此方案實現對遠程服務器進行遠程無感地取證。

為了達到上述目的，本發明提供的遠程服務器取證的系統，包括處理器，以及存儲有計算機程序的計算機可讀介質，所述計算機程序被處理器執行時：

基于SSH協議/Windows remote management服務與待取證遠程服務器建立會話；

采用RPC傳輸協議直接位對位復制待取證遠程服務器磁盤數據。

進一步的，所述取證系統包括：

會話管理模塊，基于SSH協議/Windows remote management服務與待取證遠程服務器創建會話，并通過會話批量執行腳本分析返回結果、上傳/下載文件；

鏡像傳輸模塊，通過RPC協議與待取證遠程服務器進行數據傳輸，通過網絡位對位復制遠程服務器磁盤數據到本地。

進一步的，所述取證系統還包括案件管理模塊，用于創建案件和管理案件。

進一步的，所述取證系統還包括取證結果展示模塊，用于展示遠程服務器的基本信息和應用信息。

進一步的，所述取證系統還包括截屏錄屏模塊，用于在取證系取證過程實時截屏或/和錄屏。

進一步的，所述取證系統還包括報告管理模塊，將會話管理模塊的分析結果生成報告。

為了達到上述目的，本發明提供的遠程服務器取證的方法，包括：

基于SSH協議/Windows remote management服務與待取證遠程服務器建立會話；

采用RPC傳輸協議直接位對位復制待取證遠程服務器磁盤數據。

進一步的，所述方法中，在后臺執行ssh協議/Windows remote management服務與待取證遠程服務器建立會話、遠程執行取證腳本，實現對于待取證遠程服務器不可見、不可感，以此達到秘密無感取證。

進一步的，所述方法在復制數據時，包括:

S1：通過線程池管理會話，批量遠程執行取證腳本，用于獲取到待取證遠程服務器的基本信息和應用信息；

S2：推送RPC服務端到待取證遠程服務器；

S3：通過會話遠程啟動待取證遠程服務器上的RPC服務端以監聽用戶自定義的網絡端口，并等待本地RPC客戶端的連接；