操作痕跡檢驗(yàn)報(bào)告

實(shí)驗(yàn)項(xiàng)目：計(jì)算機(jī)操作痕跡檢查姓名：葉凌云區(qū)隊(duì)：08信息警務(wù)區(qū)隊(duì)學(xué)號(hào)：0804448指導(dǎo)老師：項(xiàng)振茂實(shí)驗(yàn)地點(diǎn)：3號(hào)機(jī)房實(shí)驗(yàn)時(shí)間：2011年9月21日葉凌云的實(shí)驗(yàn)報(bào)告一、實(shí)驗(yàn)?zāi)康模红柟逃?jì)算機(jī)操作痕跡的基礎(chǔ)知識(shí)，進(jìn)一步了解操作痕跡產(chǎn)生的原理。掌握文件時(shí)間屬性、計(jì)算機(jī)開(kāi)關(guān)機(jī)時(shí)間、最近訪問(wèn)的文檔、打開(kāi)文件痕跡、上網(wǎng)歷史記錄、臨時(shí)文件夾、瀏覽器收藏夾等操作痕跡的一般方法。二、實(shí)驗(yàn)要求：1、本實(shí)驗(yàn)分小組進(jìn)行，每小組2人。2、小組成員間互換計(jì)算機(jī)，互相檢查對(duì)方計(jì)算機(jī)操作系統(tǒng)。3、實(shí)驗(yàn)內(nèi)容要求在2課時(shí)內(nèi)完成，以小組為單位完成一份實(shí)驗(yàn)報(bào)告。實(shí)驗(yàn)報(bào)告必須按附錄一的實(shí)驗(yàn)報(bào)告格式進(jìn)行撰寫(xiě)，內(nèi)容除本實(shí)驗(yàn)所要求的實(shí)驗(yàn)內(nèi)容外，還必須包括本實(shí)驗(yàn)的思考題。三、實(shí)驗(yàn)器材：每人一臺(tái)計(jì)算機(jī)并接入互聯(lián)網(wǎng)。四、實(shí)驗(yàn)內(nèi)容：1、在計(jì)算機(jī)中建立幾個(gè)有內(nèi)容的DOC、XLS、TXT、JPG文檔，并對(duì)每個(gè)文檔進(jìn)行多次修改和訪問(wèn)，然后查看并記錄每個(gè)文件的創(chuàng)建時(shí)間、修改時(shí)間、訪問(wèn)時(shí)間，解釋各時(shí)間所代表的含義以及它們之間的相互關(guān)系。2、拷貝剛建立的文檔到另一盤(pán)中，檢查文件的時(shí)間屬性有無(wú)變化？分析什么時(shí)候已變化？什么時(shí)間不變化？并解釋其原因。3、分別采用縮略圖、平鋪、圖標(biāo)、列表、詳細(xì)信息等方式檢查各類(lèi)文件，檢查文件時(shí)間屬性的變化是否與查看方式有關(guān)？、4、瀏覽網(wǎng)上信息，打開(kāi)3個(gè)以上網(wǎng)站和10個(gè)以上網(wǎng)頁(yè)。5、打開(kāi)計(jì)算機(jī)中1—2個(gè)應(yīng)用程序，如畫(huà)圖程序、QQ軟件。6、計(jì)算機(jī)開(kāi)關(guān)機(jī)時(shí)間檢查，主要檢查系統(tǒng)日志ID為6005與6006的事件時(shí)間。7、小組成員互換計(jì)算機(jī)，相互檢查對(duì)方最近訪問(wèn)的文檔。8、檢查對(duì)方曾經(jīng)打開(kāi)過(guò)的文件痕跡，主要檢查WINDOWS目錄下PREFETCH文件下的文件。9、檢查對(duì)方上網(wǎng)痕跡，主要檢查上網(wǎng)歷史記錄、收藏夾，臨時(shí)文件。五、實(shí)驗(yàn)步驟和實(shí)驗(yàn)結(jié)果：1、文件時(shí)間屬性檢查。在桌面新建WORD文檔“123”，右擊文件“123”，然后單擊“屬性”。（如圖1）圖（1） 2、計(jì)算機(jī)開(kāi)關(guān)機(jī)時(shí)間檢查。打開(kāi)控制面板—管理工具—事件查看器，點(diǎn)擊系統(tǒng)日志。然后打開(kāi)來(lái)源為EVENTLOG，事件ID為6005的時(shí)間就是計(jì)算機(jī)的開(kāi)機(jī)時(shí)間，事件ID為6006的時(shí)間則為計(jì)算機(jī)的關(guān)機(jī)時(shí)間。（如圖2、圖3、圖4）圖（2）圖（3）圖（4）3、最近訪問(wèn)的文檔。在開(kāi)始菜單—選擇文檔，就會(huì)顯示最近訪問(wèn)的文檔。（如圖5）圖（5）4、打開(kāi)文件痕跡。在WINDOWSXP及其以后的操作系統(tǒng)中，位于\WINDOWS\Prefetch文件夾中的文件包含應(yīng)用程序的啟動(dòng)時(shí)間和啟動(dòng)位置信息。打開(kāi)C盤(pán)—WINDOWS文件夾—找到Prefetch打開(kāi)，然后任意選擇一個(gè)擴(kuò)展名為PF的文件，右擊屬性（如圖5、圖6）圖（5）圖（6）5、上網(wǎng)歷史記錄的檢查。以“IE瀏覽器”為例，打開(kāi)網(wǎng)頁(yè)，點(diǎn)擊“工具/INTERNET選項(xiàng)”，選擇常規(guī)標(biāo)簽，在INTERNET臨時(shí)文件中點(diǎn)擊“設(shè)置”，然后打開(kāi)“查看文件”。（如圖7、圖8、圖9）圖（7）圖（8）圖（9）6、臨時(shí)文件夾的檢查。當(dāng)執(zhí)行過(guò)安裝軟件、下載、打開(kāi)文檔等操作時(shí)，臨時(shí)文件夾中往往會(huì)留下相應(yīng)文件。這些文件存儲(chǔ)在TEMP目錄中。具體位置一般在：C:\WINDOWS\TEMP或者C:\DOCUMENTSANDSETTINGS\用戶(hù)名LOCALSETTINGS\TEMP。7、瀏覽器收藏夾。以“IE瀏覽器”為例，點(diǎn)擊收藏夾，就能查看用戶(hù)的收藏網(wǎng)頁(yè)。（如圖10）圖（10）五、實(shí)驗(yàn)總結(jié)：1、在文件時(shí)間查看過(guò)程中，發(fā)現(xiàn)FAT32分區(qū)下安裝的WINDOWS系統(tǒng)，訪問(wèn)時(shí)間只有日期，沒(méi)有時(shí)間。還可以注意到NTFS的誤差時(shí)間是一個(gè)小時(shí)。2、一文件剛創(chuàng)建的時(shí)候，其創(chuàng)建時(shí)間、修改時(shí)間和訪問(wèn)時(shí)間是一致的。在正常情況下，其創(chuàng)建時(shí)間、修改時(shí)間、訪問(wèn)時(shí)間依次是從前到后。但也有例外，若將一文件從一臺(tái)計(jì)算機(jī)復(fù)制到你的計(jì)算機(jī)中，復(fù)制后的文件的創(chuàng)建時(shí)間就變成你的計(jì)算機(jī)的系統(tǒng)時(shí)間了，修改時(shí)間就早于創(chuàng)建時(shí)間。3、在查看計(jì)算機(jī)的開(kāi)關(guān)機(jī)方法，若是windows默認(rèn)情況下，“任務(wù)計(jì)劃程序服務(wù)”是自動(dòng)開(kāi)啟的，只要查看“任務(wù)計(jì)劃程序服務(wù)”的啟動(dòng)和關(guān)閉，即可。查看方法就是打開(kāi)C盤(pán)WINDOWS文件夾中的Schedlgu.txt，找出“任務(wù)計(jì)劃程序服務(wù)”啟動(dòng)和關(guān)閉時(shí)間即可。通過(guò)計(jì)算機(jī)開(kāi)關(guān)機(jī)檢查的學(xué)習(xí)，可以