公安技术实战-阿里云网站服务器镜像取证方法

墨裔

阿里云服务器因其性能卓越、安全稳定、高性价比等特性被广泛使用。而在众多网络犯罪中，我们也发现不少犯罪嫌疑人将涉案网站搭建在阿里云服务器上。当办案人员从阿里云公司获取涉案网站服务器的镜像后，将面对如何对服务器的镜像进行取证的难题。

本文将给大家分享一个关于阿里云网站服务器镜像文件的取证思路，希望能给大家一些灵感和参考。

取证思路

从上文我们知道办案人员拿到的镜像是关于涉案网站的服务器镜像，在针对这个服务器镜像进行取证时，我们可以通过仿真的方法将网站重新搭建起来，然后对网站进行取证。这样对服务器镜像的取证就变成了对网站的取证。

取证思路第一步：将原始镜像文件仿真还原到VMware工具中（这也是本文最重要的操作步骤）；

取证思路第二步：通过网站勘验取证工具对仿真的网站进行取证；

取证工具

在整个操作过程中，我们可能会使用到如下工具：

1、qemu-img软件，该软件的功能是将raw格式的镜像转换为vmdk格式的镜像，vmdk格式镜像即是仿真所需的镜像格式；

2、VMware Workstations，该软件的功能是将vmdk格式的镜像进行仿真，还原网站环境；

3、WFS6910网站勘验取证系统（以下简称WFS），可快速对涉案网站进行勘验取证

1.安装qemu-img工具。该工具可以将阿里云的raw镜像文件转换为vmdk的虚拟文件，进入qemu-img工具安装目录，默认安装目录在‘C:\Program Files\qemu’，在文件夹空白处按住shift键右击鼠标，然后选择“在此处打开命令窗口”进入cmd命令行，在cmd命令行执行如下命令：


2.转换成功后，打开VMware Workstations，创建新的虚拟机；



3.点击下一步。在安装客户机操作系统这一步骤时，选择稍后安装操作系统，如图所示:



4.点击下一步。然后根据raw镜像的操作系统选择虚拟机需要安装的操作系统；如图所示：



5.之后的操作步骤，如创建虚拟机的路径、为虚拟机分配的处理器数量、为虚拟分配的内存、网络类型、I/O控制器类型、磁盘类型可根据自己的需求选择。

6.在选择磁盘的步骤中，需要选择“使用现有虚拟磁盘”，如图所示：



7.继续点击下一步。默认选择即可创建完成，正常启动虚拟机。



8.虚拟机启动完成后，为了使主机与虚拟机通讯成功，需要修改虚拟机的网络适配器和虚拟机的IP地址。虚拟机的网络适配器修改步骤：点击选项卡“虚拟机”--“可移动设备”--“设置”，按照如图所示修改网络设置。



修改虚拟机IP，使虚拟机IP与主机IP处于同一网段。进入虚拟机系统，按照如图方式修改虚拟机IP地址。



IP地址修改完成后，需要重启虚拟机，使修改生效。修改完成后，查询虚拟机iP如下：



查询主机ip如下：



验证主机和虚拟机通讯成功：



9.系统配置修改完毕后，即可使用WFS对搭建完毕的系统进行取证。

新建案例：



打开网站，登录网站后台。



根据需求对网站进行勘验取证。



以上就是整个操作步骤的介绍，希望在遇到类似案件的取证时能给大家一些帮助和参考。