徐州网络犯罪律师

(一)一般取证技术

　　一般取证技术是指电子证据在未经伪饰、修改、破坏等情形下进行的取证。主要的方式有：

　　1.打印。对网络犯罪案件在文字内容上有证明意义的情况下，可以直接将有关内容打印在纸张上的方式进行取证。

　　2.拷贝。是将计算机文件拷贝到软盘、活动硬盘或光盘中的方式。首先，鉴定人员应当检验所准备的软盘、活动硬盘或光盘，确认没有病毒感染。

　　3.拍照、摄像。如果该证据具有视听资料的证据意义，可以采用拍照、摄像的方法进行证据的提取和固定，以便全面、充分地反映证据的证明作用。

　　4.制作司法文书。一般包括检查笔录和鉴定。检查笔录是指对于取证证据种类、方式、过程、内容等在取证中的全部情况进行的记录。鉴定是专业人员就取证中的专门问题进行的认定，也是一种固定证据的方式。

　　5.查封、扣押。对于涉及案件的证据材料、物件，为了防止有关当事人进行损毁、破坏，可以采取查封、扣押的方式，将有关材料置于司法机关保管之下。

　　6.公证。由于电子证据极易被破坏、一旦被破坏又难以恢复原状，所以，通过公证机构将有关证据进行公证固定是获取电子证据的有效途径之一。

(二)复杂取证技术

　　复杂取证是指需要专业鉴定人员协助进行的电子证据的收集和固定活动。多使用于电子证据不能顺利获取，如被加密或是被人为删改、破坏的情况下，如计算机病毒、黑客的袭扰等。这种情况下常用的取证方式包括：

　　1.解密。所需要的证据已经被行为人设置了密码，隐藏在文件中时，就需要对密码进行解译。在找到相应的密码文件后，请鉴定人员选用相应的解除密码口令软件。

　　2.恢复。大多数计算机系统都有自动生成备份数据和恢复数据、剩余数据的功能，有些重要的数据库安全系统还会为数据库准备专门的备份。这些系统一般是由专门的设备、专门的操作管理程序组成，一般是较难篡改的。因此，当发生计算机犯罪，其中有关证据已经被修改、破坏的，可以通过对自动备份数据和已经被处理过的数据证据进行比较、恢复，获取定案所需证据。可使用的工具包括效率源Data Compass数据指南针、Flash数据恢复大师、Data Copy King等。

　　3.测试。电子证据内容涉及电算化资料的，应当由司法会计专家对提取的资料进行现场验证。验证中如发现可能与软件设计或软件使用有关的问题时，应当由司法会计专家现场对电算化软件进行数据测试。

　　所有的分析都是在复制的硬盘上进行的，复制以及取证过程的每一步骤，取证系统都会进行 MD5 的校验，如果每次的校验值一致，那么就证明在取证过程中没有修改电子数据。