非法获取计算机信息系统数据罪-计算机入侵事件是如何取证？

非法获取计算机信息系统数据罪中计算机入侵事件的取证，需遵循严谨流程以确保数据原始性、完整性、可复现性与可控制性，具体步骤如下：

数据固定是后续分析的基础，需全面收集各类相关数据。

• 目标信息确认：明确网站部署环境，如本案例中网站部署在阿里云的 Linux 操作系统服务器上，同时获取受害者提供的被入侵计算机的 IP 和登录凭据，为后续操作提供准确指向。
• 基本信息固定

  历史命令导出：执行 “history > history.log” 命令，将用户在系统中执行过的历史命令导出保存，这些命令可能包含入侵者的操作痕迹，有助于了解系统被操作的具体情况。

  登录信息导出：通过 “last > last.log”“lastb > lastb.log”“lastlog > lastlog.log” 命令，分别导出登录相关信息、登录失败信息以及所有用户的最后一次登录信息。这些信息能帮助判断入侵者的登录时间、登录方式以及是否尝试过暴力破解等行为。

  日志目录打包：执行 “tar czvf /var/log varlog.tar.gz” 命令，将 /var/log 整个目录打包。/var/log 目录通常包含系统运行过程中的各种日志文件，是分析系统行为和入侵事件的重要依据。

  进程信息导出：使用 “ps -AUX > ps.log” 命令导出进程信息，了解系统当前运行的进程情况，排查是否存在可疑的非法进程。

  网络连接信息导出：执行 “netstat -atunp > netstat.log” 命令导出网络连接信息，查看系统与外部的网络连接情况，发现异常的网络连接，如与未知 IP 的连接，可能是入侵者与被入侵系统之间的通信。

• 网站数据固定

  目录固定：根据网站应用配置文件确定网站目录，如本案例中的 “/www/ci”，然后执行 “tar czvf /www/ci

  www.c
  i.com.tar.gz” 命令将网站目录保存。网站目录包含网站的核心文件和代码，固定这些数据有助于分析网站是否被篡改以及篡改的方式。

  访问日志固定：依据网站应用配置文件找到访问日志保存位置，如 “/etc/httpd/logs”，执行 “tar czvf /etc/httpd/logs accesslog.tar.gz” 命令将网站访问日志保存。为确保日志完整性，执行此命令前应停止网站应用进程，防止日志文件因进程锁定而无法读取。访问日志记录了用户对网站的访问情况，通过分析可以找出异常访问行为。

• 数据库固定

  数据表固定：在网站目录内找到数据库连接配置文件，将网站数据库导出为 “database.sql” 文件。数据库中存储着网站的重要数据，导出数据表可以保留数据的原始状态，以便后续分析数据是否被篡改。

  数据库日志固定：根据 Mysql 数据库配置信息，提取固定所有日志文件。数据库日志记录了数据库的操作情况，包括数据的增删改查等操作，对于分析入侵者是否对数据库进行了非法操作具有重要意义。

在完成数据固定后，对收集到的数据进行深入分析，以发现入侵的迹象和线索。

• 系统日志分析：对固定的基本信息进行分析，检查是否存在明显异常。例如，通过分析登录信息和历史命令，排除暴力破解系统用户登录的入侵方式。如果登录信息中没有大量失败的登录尝试记录，且历史命令中没有可疑的破解命令，则可以初步排除暴力破解的可能性。
• 网站应用分析

  网站重构：安装 Apache、PHP 和 Mysql 等必要软件，将固定的数据导入，使用 Web 浏览器访问后确保网站首页成功展示。这一步骤是为了搭建一个与被入侵网站相似的环境，便于后续的分析和检测。

  WebShell 扫描：使用 WebShell 分析工具对网站目录进行扫描，查找是否存在网页木马文件。如本案例中在网站目录下发现一个名为 “up1oad?php.bmp” 的疑似网页木马的文件。

  WebShell 分析：使用编码工具查看疑似木马文件的内容，分析其代码功能。例如，本案例中发现文件存在 “” 代码，其含义是对 post 提交的 h31en 变量中的内容执行 base64 解码，这表明该文件可能是入侵者用于控制网站的工具。同时，根据文件修改时间查找近似的文件，定位到符合条件的 php 代码页 “adminer.php”，分析其功能为数据库管理器，可执行数据库管理动作，结合文件创建时间确定此页面是入侵者留下的远程操控数据库的接口。

• 网站访问日志分析：从网站的访问日志入手，筛选出所有特定页面（如 “adminer.php”）的访问记录，并统计访问记录中出现的用户 ID。例如，通过命令 “t4$grep -E -i -o "user_id%5d=[e - 9]{1,8}" adminer.php.exclude.alibaba.log | sort | uniq” 得到 4 个用户的 ID，这些用户可能是与入侵事件相关的嫌疑人。

根据数据分析的结果，对整个入侵过程进行还原，以清晰地了解入侵者的作案手法和步骤。

• 恶意文件上传：入侵者利用网站的文件上传漏洞，将含有恶意内容的 PHP 代码页修改文件头部，伪装成 BMP 图片，成功绕过网站代码检测机制，并上传至网站目录下。这种伪装方式使得恶意文件能够顺利通过网站的安全检测，进入系统内部。
• 确认上传文件证据：在网站对应目录找到上传成功的恶意代码文件，如 “uploaddyp2p.php.php”，证明上传行为有效，为后续分析入侵过程提供了实物证据。
• 连接计算机：入侵者使用特定工具（如 “chopper”）连接网站内的恶意代码页，连接成功后使用集成的文件管理器成功打开网站所在计算机的根目录，并获得管理权限。这表明入侵者已经突破了网站的安全防线，能够自由访问和操作网站所在计算机的文件系统。
• 上传数据库管理器：使用工具集成的文件管理器，上传数据库管理器代码页 “adminer.php”，读取数据库连接配置文件（如 “/data/www/c*i/dbconfig.php”），取得数据库权限。获得数据库权限后，入侵者就可以对数据库中的数据进行任意操作。
• 修改数据：访问 “adminer.php” 页，篡改数据库数据，绑定银行卡。通过修改数据库中的相关信息，入侵者为后续的非法提现操作做好准备。
• 执行提现：访问提现页，执行提现操作，成功将用户财产非法获取。这是入侵事件的最终目的，通过一系列的入侵和操作，入侵者实现了非法获取用户财产的犯罪行为。