【正文】 第 47 頁(yè) 共 65頁(yè)使用[轉(zhuǎn)到]、[前頁(yè)]、[后頁(yè)]瀏覽其他內(nèi)存頁(yè)面的數(shù)據(jù)；點(diǎn)擊[保存]按鈕將要提取的內(nèi)存頁(yè)中的數(shù)據(jù)導(dǎo)出到易丟失數(shù)據(jù)文件中。 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 48 頁(yè) 共 65頁(yè) 比對(duì)兩次提取的易丟失數(shù)據(jù)通過(guò)[打開(kāi)]菜單 打開(kāi)已經(jīng)保存的易丟失數(shù)據(jù)文件；選擇比對(duì)操作的源文件，通過(guò)[比對(duì)]菜單打開(kāi)比對(duì)操作對(duì)話框； 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 49 頁(yè) 共 65頁(yè)選擇要比對(duì)的目標(biāo)文件，以及比對(duì)項(xiàng)目；點(diǎn)擊[確定]按鈕開(kāi)始比對(duì)；瀏覽比對(duì)結(jié)果。 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 50 頁(yè) 共 65頁(yè) 閱讀已經(jīng)提取的易丟失數(shù)據(jù)通過(guò)[打開(kāi)]菜單 打開(kāi)原來(lái)保存的易丟失數(shù)據(jù)文件；雙擊易丟失數(shù)據(jù)文件名（提取時(shí)間） ，展開(kāi)易丟失數(shù)據(jù)文件包含的信息類型樹(shù)； 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 51 頁(yè) 共 65頁(yè)點(diǎn)擊要閱讀的數(shù)據(jù)類型，瀏覽該類型的易丟失數(shù)據(jù)內(nèi)容；查看結(jié)果。 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 52 頁(yè) 共 65頁(yè)典型應(yīng)用 宿主計(jì)算機(jī)存儲(chǔ)媒介的提取案例：某企業(yè)數(shù)據(jù)庫(kù)服務(wù)器被攻擊，由于該服務(wù)器支撐著該企業(yè)的日常工作，不能長(zhǎng)時(shí)間停機(jī)，因而只能快速?gòu)?fù)制該服務(wù)器的存儲(chǔ)介質(zhì)以便案件的偵破。應(yīng)用 1：通過(guò)藍(lán)盾在線取證系統(tǒng)以光盤啟動(dòng)方式快速?gòu)?fù)制該服務(wù)器的物理存儲(chǔ)介質(zhì)。過(guò)程：插入藍(lán)盾在線取證系統(tǒng)光盤，重新啟動(dòng)計(jì)算機(jī)進(jìn)入 PE操作系統(tǒng)；啟動(dòng)存儲(chǔ)媒介獲取系統(tǒng)，接入移動(dòng)存儲(chǔ)設(shè)備；選擇要提取的宿主計(jì)算機(jī)物理存儲(chǔ)媒介，點(diǎn)擊鼠標(biāo)右鍵[取 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 53 頁(yè) 共 65頁(yè)證]菜單開(kāi)始取證；設(shè)置案件基本信息，并選擇存儲(chǔ)方式、目的設(shè)備和校驗(yàn)方式后點(diǎn)擊[ 開(kāi)始 ]按鈕開(kāi)始復(fù)制物理存儲(chǔ)媒介；復(fù)制完成后取出移動(dòng)存儲(chǔ)設(shè)備，插入新的移動(dòng)存儲(chǔ)設(shè)備，開(kāi) 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 54 頁(yè) 共 65頁(yè)始復(fù)制下一個(gè)物理存儲(chǔ)媒介。應(yīng)用 2：通過(guò)藍(lán)盾在線取證系統(tǒng)以光盤啟動(dòng)方式快速將該服務(wù)器的物理存儲(chǔ)介質(zhì)復(fù)制到一個(gè)文件。過(guò)程：插入藍(lán)盾在線取證系統(tǒng)光盤，重新啟動(dòng)計(jì)算機(jī)進(jìn)入 PE操作系統(tǒng)；啟動(dòng)存儲(chǔ)媒介獲取系統(tǒng)，接入移動(dòng)存儲(chǔ)設(shè)備；選擇要提取的宿主計(jì)算機(jī)物理存儲(chǔ)媒介，點(diǎn)擊鼠標(biāo)右鍵[取證]菜單開(kāi)始取證；設(shè)置案件基本信息，并選擇以文件方式存儲(chǔ)和校驗(yàn)方式后點(diǎn)擊[開(kāi)始 ]按鈕開(kāi)始復(fù)制物理存儲(chǔ)媒介；復(fù)制完成后繼續(xù)操作，開(kāi)始復(fù)制下一個(gè)物理存儲(chǔ)媒介。應(yīng)用 3：通過(guò)藍(lán)盾在線取證系統(tǒng)以光盤啟動(dòng)方式快速將該服務(wù)器的第一個(gè)物理存儲(chǔ)介質(zhì)的第一個(gè)分區(qū)復(fù)制到移動(dòng)設(shè)備。過(guò)程： 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 55 頁(yè) 共 65頁(yè)插入藍(lán)盾在線取證系統(tǒng)光盤，重新啟動(dòng)計(jì)算機(jī)進(jìn)入 PE操作系統(tǒng)；啟動(dòng)存儲(chǔ)媒介獲取系統(tǒng)，接入移動(dòng)存儲(chǔ)設(shè)備；選擇要提取的宿主計(jì)算機(jī)物理存儲(chǔ)媒介分區(qū)，點(diǎn)擊鼠標(biāo)右鍵[取證 ]菜單開(kāi)始取證；設(shè)置案件基本信息，并選擇以目的設(shè)備和校驗(yàn)方式后點(diǎn)擊[開(kāi)始 ]按鈕開(kāi)始復(fù)制分區(qū)；復(fù)制完成后取出移動(dòng)存儲(chǔ)設(shè)備，插入新的移動(dòng)存儲(chǔ)設(shè)備，開(kāi)始復(fù)制下一個(gè)分區(qū)。應(yīng)用 4：通過(guò)藍(lán)盾在線取證系統(tǒng)以光盤啟動(dòng)方式快速將該服務(wù)器的指定類型的文件到移動(dòng)設(shè)備。過(guò)程： 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 56 頁(yè) 共 65頁(yè)插入藍(lán)盾在線取證系統(tǒng)光盤，重新啟動(dòng)計(jì)算機(jī)進(jìn)入 PE操作系統(tǒng)；啟動(dòng)存儲(chǔ)媒介獲取系統(tǒng)，接入移動(dòng)存儲(chǔ)設(shè)備；選擇要搜索的宿主計(jì)算機(jī)物理存儲(chǔ)媒介，點(diǎn)擊鼠標(biāo)右鍵[搜索]菜單開(kāi)始搜索；搜索結(jié)束后點(diǎn)擊鼠標(biāo)右鍵菜單[取證]彈出取證窗體； 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 57 頁(yè) 共 65頁(yè)設(shè)置案件基本信息，并選擇保存地址和校驗(yàn)方式后點(diǎn)擊[開(kāi)始]按鈕開(kāi)始復(fù)制文件；復(fù)制完成后繼續(xù)其他操作。 宿主計(jì)算機(jī)易丟失數(shù)據(jù)的提取案例：某網(wǎng)絡(luò)服務(wù)器正在被攻擊，需要提取可能留存有攻擊行為痕跡的易丟失數(shù)據(jù)，而該類數(shù)據(jù)在關(guān)機(jī)或攻擊結(jié)束后將自動(dòng)消失。應(yīng)用：通過(guò)藍(lán)盾在線取證系統(tǒng)以光盤運(yùn)行方式快速提取該服務(wù)器的動(dòng)態(tài)易丟失信息。過(guò)程：插入藍(lán)盾在線取證系統(tǒng)光盤，運(yùn)行易丟失數(shù)據(jù)獲取系統(tǒng)；設(shè)置案件基本信息和日志、證據(jù)存儲(chǔ)地址； 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 58 頁(yè) 共 65頁(yè)打開(kāi)建立新檔案窗體，設(shè)置要提取的易丟失數(shù)據(jù)類型；點(diǎn)擊執(zhí)行按鈕，開(kāi)始獲取易丟失數(shù)據(jù)。獲取完畢后系統(tǒng)在對(duì)應(yīng)檔案下顯示獲取易丟失數(shù)據(jù)的時(shí)間；單擊展開(kāi)檔案數(shù)據(jù)列表，選擇要瀏覽的數(shù)據(jù)類型；點(diǎn)擊執(zhí)行按鈕，重新獲取易丟失數(shù)據(jù)； 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 59 頁(yè) 共 65頁(yè)選擇要比對(duì)的數(shù)據(jù)源，點(diǎn)擊鼠標(biāo)右鍵[比對(duì)] 菜單；設(shè)置比對(duì)參數(shù)，點(diǎn)擊[確定]按鈕比對(duì)； 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 60 頁(yè) 共 65頁(yè)選擇要作為證據(jù)的記錄，點(diǎn)擊鼠標(biāo)右鍵執(zhí)行[取證] 菜單；應(yīng)用：通過(guò)藍(lán)盾在線取證系統(tǒng)以光盤運(yùn)行方式快速瀏覽進(jìn)程內(nèi)存信息，并提取指定進(jìn)程內(nèi)存頁(yè)面的數(shù)據(jù)。過(guò)程：插入藍(lán)盾在線取證系統(tǒng)光盤，運(yùn)行易丟失數(shù)據(jù)獲取系統(tǒng)；設(shè)置案件基本信息和日志、證據(jù)存儲(chǔ)地址； 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 61 頁(yè) 共 65頁(yè)點(diǎn)擊[編輯]欄中的[應(yīng)用程序內(nèi)存]菜單；點(diǎn)擊[進(jìn)程基本信息/刷新]按鈕獲取當(dāng)前進(jìn)程表，選擇要瀏覽內(nèi)存信息的進(jìn)程； 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 62 頁(yè) 共 65頁(yè)點(diǎn)擊要查看的內(nèi)存頁(yè)；點(diǎn)擊[保存] 按鈕保存當(dāng)前內(nèi)存頁(yè)數(shù)據(jù)。 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 63 頁(yè) 共 65頁(yè)名詞解釋物理內(nèi)存：指計(jì)算機(jī)內(nèi)存條、顯示卡等硬件提供的內(nèi)存。虛擬內(nèi)存：指操作系統(tǒng)通過(guò)在磁盤等存儲(chǔ)媒介上開(kāi)啟的緩存，系統(tǒng)標(biāo)識(shí)為 V。內(nèi)存頁(yè)：WINDOWS、LINUX 等操作系統(tǒng)對(duì)內(nèi)存是通過(guò)分頁(yè)來(lái)分配使用的，一般默認(rèn)的頁(yè)面大小為 4KB。保護(hù)屬性：WINDOWS、LINUX 等操作系統(tǒng)對(duì)內(nèi)存的訪問(wèn)有嚴(yán)格的權(quán)限劃分，操作系統(tǒng)根據(jù)內(nèi)存頁(yè)面的保護(hù)屬性來(lái)限制對(duì)該頁(yè)內(nèi)存的操作。頁(yè)面狀態(tài)：操作系統(tǒng)在調(diào)度虛擬內(nèi)存（磁盤緩存文件）與物理內(nèi)存時(shí)的調(diào)度情況。只讀：該頁(yè)內(nèi)存只允許讀操作，不能對(duì)其執(zhí)行其他操作，系統(tǒng)標(biāo)識(shí)為 RO。讀寫(xiě)：該頁(yè)內(nèi)存只允許讀、寫(xiě)操作，不能對(duì)其執(zhí)行其他操作，系統(tǒng)標(biāo)識(shí)為 RW。禁止訪問(wèn)：該頁(yè)內(nèi)存不允許進(jìn)行任何操作?？截悾涸擁?yè)內(nèi)存只允許拷貝操作，不能對(duì)其執(zhí)行其他操作，系統(tǒng)標(biāo)識(shí)為 CW。執(zhí)行：該頁(yè)內(nèi)存只允許執(zhí)行其中的代碼，不能對(duì)其執(zhí)行其他操作，系統(tǒng)標(biāo)識(shí)為 E。消息：該頁(yè)內(nèi)存被用來(lái)傳遞消息，不允許執(zhí)行其他操作，系統(tǒng)標(biāo)識(shí)為 G。 在線取證系統(tǒng)操作手冊(cè)廣東天海威數(shù)碼技術(shù)有限公司 第 64 頁(yè) 共 65頁(yè)停用：該頁(yè)內(nèi)存已停用系統(tǒng)標(biāo)識(shí)為 N。共享：該頁(yè)內(nèi)存允許其他進(jìn)程訪問(wèn)，系統(tǒng)標(biāo)識(shí)為 S。私有：該頁(yè)內(nèi)存不允許其他進(jìn)程訪問(wèn)，系統(tǒng)標(biāo)識(shí)為 P。映像：該頁(yè)內(nèi)存已被映射到物理內(nèi)存空間，系統(tǒng)標(biāo)識(shí)為 I。數(shù)據(jù)：該頁(yè)內(nèi)存保存在磁盤文件緩存中，系統(tǒng)標(biāo)識(shí)為 M