網(wǎng)絡(luò)空間安全概論 實(shí)驗(yàn)10 網(wǎng)絡(luò)瀏覽器取證實(shí)驗(yàn)樣例3

實(shí)驗(yàn)三網(wǎng)絡(luò)取證實(shí)驗(yàn)?zāi)康?、學(xué)會(huì)使用網(wǎng)絡(luò)取證常用的工具；2、了解熟悉網(wǎng)絡(luò)取證所要搜集的信息；實(shí)驗(yàn)內(nèi)容1、使用Cookies分析工具；2、使用上網(wǎng)歷史記錄分析工具；3、使用收藏夾工具；4、使用搜索引擎關(guān)鍵詞分析工具；5、使用網(wǎng)頁(yè)緩存分析工具；6、使用網(wǎng)頁(yè)離線瀏覽器；實(shí)驗(yàn)步驟下載相應(yīng)的工具，解壓并且安裝相應(yīng)的軟件。打開(kāi)相應(yīng)的分析監(jiān)控工具，查看相應(yīng)的瀏覽器信息，歷史記錄，收藏夾，搜索引擎關(guān)鍵詞，網(wǎng)頁(yè)緩存，網(wǎng)頁(yè)離線瀏覽器等。四、下載WebBrowserToolsPackage進(jìn)行取證：使用Cookies分析工具；Cookie，有時(shí)也用其復(fù)數(shù)形式Cookies。類(lèi)型為“小型文本文件”，是某些網(wǎng)站為了辨別用戶身份，進(jìn)行Session跟蹤而儲(chǔ)存在用戶本地終端上的數(shù)據(jù)（通常經(jīng)過(guò)加密），由用戶客戶端計(jì)算機(jī)暫時(shí)或永久保存的信息。（簡(jiǎn)單來(lái)說(shuō)就是：儲(chǔ)存在用戶本地終端上的數(shù)據(jù)）舉例來(lái)說(shuō),一個(gè)Web站點(diǎn)可能會(huì)為每一個(gè)訪問(wèn)者產(chǎn)生一個(gè)唯一的ID,然后以Cookie文件的形式保存在每個(gè)用戶的機(jī)器上。如果使用瀏覽器訪問(wèn)Web,會(huì)看到所有保存在硬盤(pán)上的Cookie。在這個(gè)文件夾里每一個(gè)文件都是一個(gè)由“名/值”對(duì)組成的文本文件,另外還有一個(gè)文件保存有所有對(duì)應(yīng)的Web站點(diǎn)的信息。在這里的每個(gè)Cookie文件都是一個(gè)簡(jiǎn)單而又普通的文本文件。透過(guò)文件名,就可以看到是哪個(gè)Web站點(diǎn)在機(jī)器上放置了Cookie(當(dāng)然站點(diǎn)信息在文件里也有保存)(1)Name/Value：設(shè)置Cookie的名稱(chēng)及相對(duì)應(yīng)的值，對(duì)于認(rèn)證Cookie，Value值包括Web服務(wù)器所提供的訪問(wèn)令牌

。(2)Expires屬性：設(shè)置Cookie的生存期。有兩種存儲(chǔ)類(lèi)型的Cookie：會(huì)話性與持久性。Expires屬性缺省時(shí)，為會(huì)話性Cookie，僅保存在客戶端內(nèi)存中，并在用戶關(guān)閉瀏覽器時(shí)失效；持久性Cookie會(huì)保存在用戶的硬盤(pán)中，直至生存期到或用戶直接在網(wǎng)頁(yè)中單擊“注銷(xiāo)”等按鈕結(jié)束會(huì)話時(shí)才會(huì)失效。(3)Path屬性：定義了Web站點(diǎn)上可以訪問(wèn)該Cookie的目錄。(4)Domain屬性：指定了可以訪問(wèn)該Cookie的Web站點(diǎn)或域。Cookie機(jī)制并未遵循嚴(yán)格的同源策略，允許一個(gè)子域可以設(shè)置或獲取其父域的Cookie。當(dāng)需要實(shí)現(xiàn)單點(diǎn)登錄方案時(shí)，Cookie的上述特性非常有用，然而也增加了Cookie受攻擊的危險(xiǎn)，比如攻擊者可以借此發(fā)動(dòng)會(huì)話定置攻擊。因而，瀏覽器禁止在

Domain

屬性中設(shè)置.org、.com等通用頂級(jí)域名、以及在國(guó)家及地區(qū)頂級(jí)域下注冊(cè)的二級(jí)域名，以減小攻擊發(fā)生的范圍

[3]

。(5)Secure屬性：指定是否使用HTTPS安全協(xié)議發(fā)送Cookie。使用HTTPS安全協(xié)議，可以保護(hù)Cookie在瀏覽器和Web服務(wù)器間的傳輸過(guò)程中不被竊取和篡改。該方法也可用于Web站點(diǎn)的身份鑒別，即在HTTPS的連接建立階段，瀏覽器會(huì)檢查Web網(wǎng)站的SSL證書(shū)的有效性。但是基于兼容性的原因（比如有些網(wǎng)站使用自簽署的證書(shū)）在檢測(cè)到SSL證書(shū)無(wú)效時(shí)，瀏覽器并不會(huì)立即終止用戶的連接請(qǐng)求，而是顯示安全風(fēng)險(xiǎn)信息，用戶仍可以選擇繼續(xù)訪問(wèn)該站點(diǎn)。由于許多用戶缺乏安全意識(shí)，因而仍可能連接到Pharming攻擊所偽造的網(wǎng)站

。(6)HTTPOnly屬性：用于防止客戶端腳本通過(guò)document.cookie屬性訪問(wèn)Cookie，有助于保護(hù)Cookie不被跨站腳本攻擊竊取或篡改。但是，HTTPOnly的應(yīng)用仍存在局限性，一些瀏覽器可以阻止客戶端腳本對(duì)Cookie的讀操作，但允許寫(xiě)操作；此外大多數(shù)瀏覽器仍允許通過(guò)XMLHTTP對(duì)象讀取HTTP響應(yīng)中的Set-Cookie頭。首先使用本機(jī)：對(duì)ie瀏覽器cookie進(jìn)行取證：圖3.1圖3.2在文件夾中可以找到該cookie文件：圖3.3使用虛擬機(jī)進(jìn)行取證：圖3.4圖3.5可以發(fā)現(xiàn)在該cookie記錄中僅僅只有訪問(wèn)百度的記錄，因?yàn)檫@是剛剛下載的谷歌瀏覽器。當(dāng)然也可以從網(wǎng)頁(yè)中獲取cookie：設(shè)置->開(kāi)發(fā)者工具->Application->cookies圖3.6上網(wǎng)記錄分析工具利用該工具可以看到我們的上網(wǎng)記錄，可以看到該用戶習(xí)慣于使用谷歌瀏覽器，且常用搜索內(nèi)容與學(xué)習(xí)研究相關(guān)。圖3.7圖3.83、使用收藏夾工具圖3.9圖3.104、使用搜索引擎關(guān)鍵詞分析工具：圖3.11使用網(wǎng)頁(yè)緩存分析工具；下圖顯示的是一些緩存的內(nèi)容：圖3.12我們可以點(diǎn)開(kāi)其中一個(gè)查看其內(nèi)容：圖3.13查看常用網(wǎng)站圖3.14查看已存儲(chǔ)的數(shù)據(jù)圖3.15網(wǎng)頁(yè)離線瀏覽器想要找到網(wǎng)頁(yè)離線瀏覽器的緩存記錄，我們首先需要找到Win10瀏覽器緩存文件夾。在控制面板->internet選項(xiàng)->設(shè)置中