Pieces0310

取证须让证物说话,莫妄以自我心证来给案情下定论.切忌画靶射箭,为找而找. 取证的根基仰赖经验与判断,在IT各领域的经验愈丰富,愈能看出端倪. 取证须善用工具,但不过度依赖工具.工具只能帮你缩小可能范围,但无法告诉你答案,仍需靠人进行分析判断.

首页 新随笔 联系 订阅 管理

最近刚好有个案子的证物主机是MBP, OS X版本为El Capitan,案况与营业秘密外泄有关,当中要找有关USB存储设备的使用痕迹.

 

要提醒大家的是,不同版本的OS X,各种迹证的存放文件名称及路径,往往有所不同.而E1 Capitan的USB存储设备的使用痕迹在/private/var/log/system.log中即可查得.

 

以关键词”USBMSC”进行搜索,如下图所示,蓝色底线部份即是该设备的Serial Number,而橘色部份中的 05dc则为Vendor ID及a815则为Product ID.而其Volume Name为 “ELCOM”.

 

 

也许有人会说他/她不曾用过Mac,因此不确定上述信息是否正确无误,那再简单不过了,只要你/妳在Linux或Windows平台,对同一个USB存储设备进行相关信息检视,不就可以进行比对了吗…如下图所示.

Linux:

 

M$ Windows:

 

posted on   Pieces0310  阅读(2499)  评论(0编辑  收藏  举报
努力加载评论中...
点击右上角即可分享
微信分享提示