电子取证实战：从3个检材镜像中定位技术员IP与数据库密码的5步关联分析

电子取证实战：从3个检材镜像中定位技术员IP与数据库密码的5步关联分析

1. 多检材关联分析的核心逻辑

在电子取证领域，跨检材证据链构建往往比单一检材分析更具实战价值。当面对服务器镜像、终端设备和网络日志等多源数据时，取证人员需要建立"连接点思维"——即通过IP地址、时间戳、用户行为和文件特征等关键要素，将离散的电子证据串联成完整的攻击链路。

以虚拟币诈骗案件为例，典型的关联分析路径包含以下要素：

• 网络层：SSH连接记录、防火墙日志、NAT转换表
• 系统层：用户登录日志、进程监控记录、文件操作痕迹
• 应用层：数据库操作日志、Web访问记录、API调用日志
• 人员层：技术员操作习惯、密码复用规律、工具使用特征

提示：关联分析的首要原则是"先静态后动态"——先对单个检材做基础取证（如哈希校验、系统信息提取），再通过时间线重构和事件比对建立跨检材关联。

2. 技术员IP定位实战

2.1 登录日志分析

在Linux服务器（检材1）中，技术员的IP通常出现在以下日志文件：

/var/log/secure # SSH认证日志 /var/log/auth.log # 认证相关日志（Debian系） /var/log/lastlog # 最近登录记录 /var/log/wtmp # 成功登录记录（二进制文件）

使用以下命令提取关键信息：

# 查看最近成功登录记录 last -i | awk '{print $3}' | grep -v "0.0.0.0" | sort -u # 解析wtmp二进制日志 utmpdump /var/log/wtmp | grep -E "172\.16\.80\.[0-9]{1,3}"

2.2 网络连接关联

通过对比检材1和检材2的网络配置，可发现以下关联点：

2.3 密码破解技巧

技术员常在不同系统使用相同密码，可通过以下方法验证：

1. 从检材2的Xshell会话中提取保存的密码
2. 尝试用该密码登录检材1的root账户
3. 在检材3的MySQL配置文件中查找密码复用痕迹

注意：实际操作中建议使用专业工具（如Elcomsoft Distributed Password Recovery）进行合规的密码破解。

3. 数据库密码提取方法论

3.1 配置文件定位

数据库密码通常隐藏在以下位置：

• MySQL：

  /etc/mysql/my.cnf /etc/my.cnf ~/.my.cnf /var/lib/mysql/mysql.user.MYD（需专用工具读取）

• Redis：

  redis-cli config get requirepass

• MongoDB：

  grep -r "mongodb://" /opt /home /var/www

3.2 内存取证技术

当配置文件被删除时，可通过内存转储提取密码：

# 使用Volatility分析内存镜像 vol.py -f memory.dump linux_bash vol.py -f memory.dump linux_pslist | grep -E "mysql|mongo|redis"

3.3 加密算法逆向

对于Web应用（如本案中的ZTuoExchange框架），密码加密逻辑通常存在于：

1. 反编译Java包（本案中的admin-api.jar）
2. 分析Spring Boot的application.properties
3. 跟踪数据库连接池配置

关键代码特征：

// 典型加密配置示例 @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(10); // 加密强度参数 }

4. 关联分析五步法

4.1 时间线同步

使用Log2Timeline工具构建统一时间轴：

log2timeline.py --parsers "linux,apache,mysql" case.plaso *.log

4.2 网络流量关联

通过Wireshark过滤关键会话：

tcp.stream eq 123 && (http || mysql)

4.3 用户行为画像

统计技术员操作特征：

• 常用命令（如vim/nginx等）
• 工作时段（通过登录日志分析）
• 文件操作习惯（是否习惯用rm -rf）

4.4 密码策略分析

建立密码字典时应包含：

• 公司名称缩写+年份（如forensix2022）
• 技术员姓名拼音+生日
• 常见弱密码组合（如Admin@123）

4.5 证据链可视化

推荐使用Maltego构建关系图，包含：

• 实体：IP、域名、账号、文件
• 关系：连接、登录、操作
• 时间：首次出现、最后活跃

5. 实战检查清单

5.1 基础取证项

• [ ] 计算所有检材的SHA256值
• [ ] 记录操作系统版本信息
• [ ] 提取网络配置（IP/路由/DNS）
• [ ] 备份关键日志文件

5.2 高级分析项

• [ ] 重建Docker容器网络拓扑
• [ ] 反编译Java包分析加密逻辑
• [ ] 数据库事务日志回滚分析
• [ ] WSL子系统的取证数据提取

5.3 关联验证项

• [ ] 交叉验证IP地址的时间戳
• [ ] 比对不同系统的密码哈希
• [ ] 检查浏览器历史与服务器日志的对应关系

在真实案件调查中，我们曾通过技术员在检材2的Chrome历史记录中发现其访问过检材1的9090端口管理后台，进而定位到被篡改的数据库配置。这种跨设备的证据关联往往能突破单点取证的局限性。