專利名稱：一種基于http協(xié)議頭的磁盤地理位置定位方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種計算機硬盤數(shù)字取證技術(shù)，屬于信息安全技術(shù)領(lǐng)域。
技術(shù)背景
計算機的應(yīng)用與普及使得基于計算機網(wǎng)絡(luò)的犯罪活動日漸增加，很多用戶的日常網(wǎng)絡(luò)操作都會被計算機紀(jì)錄在其硬盤中。在計算機數(shù)字取證領(lǐng)域，檢測計算機的硬盤，獲取其在特定的歷史時間出現(xiàn)的地理位置信息將有助于刑偵人員獲取案件線索，為法庭提供有力的證據(jù)。對于一個沒有聯(lián)網(wǎng)的計算機硬盤獲取其歷史地理信息是比較困難的，因為傳統(tǒng)的網(wǎng)絡(luò)延時地理位置定位方法，IP地址定位方法都需要設(shè)備連接互聯(lián)網(wǎng)，通過互聯(lián)網(wǎng)的反饋信息來計算出確切的地理位置，而且這些方法只能獲得硬盤當(dāng)前的地理位置，并不能獲取該硬盤的歷史地理位置信息。在具體的數(shù)字取證領(lǐng)域，調(diào)查者需要知道在特定的歷史時間計算機所出現(xiàn)的地理位置。
中國專利公開號為CN101383855的申請案公開了一種基于IP地址信息獲取計算機精確地理位置信息的方法，但是該方法需要維護(hù)一個龐大的數(shù)據(jù)庫，用戶訪只能問其網(wǎng)站獲取給定IP地址的定位信息。對于移動電腦用戶來說，其IP地址是隨著用戶地理位置的移動而發(fā)生變化的，該方法并不能獲取一個歷史時刻用戶的IP地址，因而也不能夠定位計算機的歷史地理位置。專利公開號為CN1190481的申請案公開了一種載有地理位置數(shù)據(jù)的存儲介質(zhì)，該方法需要提前為存儲介質(zhì)編碼，對于沒有提前編碼的存儲設(shè)備，該方法不可用，因而其具有很大的局限性。針對上述發(fā)明的不足，本發(fā)明提出了一種針對計算機硬盤進(jìn)行地理位置定位的方法。該方法通過對存儲在計算機磁盤中的Cookie進(jìn)行分析，提取存儲在Cookie中的用于HTTP協(xié)議的計算機地理位置信息，從而獲取計算機磁盤出現(xiàn)的歷史地理位置及出現(xiàn)時間，為刑偵工作提供有力的物證。
本發(fā)明是基于HTTP協(xié)議的工作原理而提出的一種取證方法，其具有如下特點1)取證過程無需人工干預(yù)，能自動完成磁盤掃描，計算，生成最終結(jié)果；2)該方法基于HTTP協(xié)議的基本原理，具備較高的準(zhǔn)確性和可靠性；3)運行成本低，部署簡單。
本發(fā)明可用于計算機硬盤數(shù)字取證領(lǐng)域，具有廣泛的應(yīng)用前景。發(fā)明內(nèi)容
本發(fā)明提出了一種基于HTTP協(xié)議頭的計算機硬盤地理位置定位方法。該方法首先對計算機硬盤中的文件進(jìn)行掃描，獲取該硬盤中保留的所有HTTP協(xié)議頭，生成HTTP協(xié)議頭列表文件；然后應(yīng)用地理位置數(shù)據(jù)庫構(gòu)建地理位置名稱樹，省(州)位于該地名樹的第一層，縣(市)為第二層；之后構(gòu)建二維地理位置權(quán)重值鏈表，為地名樹中的每一個地理位置結(jié)點生成其對應(yīng)的權(quán)重值；掃描所有HTTP協(xié)議頭中的Cookie數(shù)據(jù)域，如果匹配到地理位置名稱樹中第一層的結(jié)點名，則將該HTTP協(xié)議頭與該結(jié)點下面的子結(jié)點進(jìn)行匹配。如果匹配到某一個子結(jié)點，則對該子結(jié)點的權(quán)重進(jìn)行加操作；完成掃表匹配后，構(gòu)建數(shù)據(jù)字典并對其進(jìn)行排序，權(quán)重值大于零的結(jié)點被認(rèn)為是該計算機硬盤曾經(jīng)出現(xiàn)過的地理位置；掃描HTTP 協(xié)議頭中的Date數(shù)據(jù)域，獲取該計算機硬盤出現(xiàn)在某一地理位置的時間。在詳細(xì)闡述本發(fā)明前，先做如下的術(shù)語定義 HTTP頭域HTTP協(xié)議頭所包含的數(shù)據(jù)域。Date數(shù)據(jù)域表示消息發(fā)送的時間。Date描述的時間為世界標(biāo)準(zhǔn)時。Cookie 服務(wù)器留在用戶計算機中的小文件方便服務(wù)器識別特定的計算機客戶端。當(dāng)用戶第二次訪問同一網(wǎng)站的時候，其瀏覽器將會自動從計算機硬盤讀入Cookie并發(fā)送給服務(wù)器，從而使服務(wù)器能夠識別該用戶并提供此用戶特定的網(wǎng)絡(luò)信息和服務(wù)。


圖1是本發(fā)明的工作原理圖。圖2是掃描計算機磁盤，生成HTTP協(xié)議頭文件的步驟。圖3是構(gòu)建地理位置名稱樹和二維地理位置權(quán)重值鏈表的步驟。圖4是地理位置名稱樹與HTTP協(xié)議頭文件匹配，計算權(quán)重值的步驟。圖5是生成數(shù)據(jù)字典并對其排序，輸出地理位置信息的步驟。
具體實施例方式以下結(jié)合附圖詳細(xì)說明本發(fā)明的具體方法。圖1是本發(fā)明的工作原理圖。計算機用戶在訪問一些網(wǎng)站時，網(wǎng)站服務(wù)器會根據(jù)用戶的IP地址計算出該用戶的具體地理位置，之后為用戶提供根據(jù)其特定地理位置裁剪過的網(wǎng)頁信息和服務(wù)。如 CNN, MSN等，其服務(wù)器獲取用戶地理位置后，通過設(shè)置kt-Cookie數(shù)據(jù)域?qū)⒂脩羲诘闹?(省)名稱，城市名或者縣名傳送給客戶端。當(dāng)用戶向服務(wù)器發(fā)出請求后，服務(wù)器端把用戶所在的地理位置信息保留在用戶本地的Cookie文件中。當(dāng)該用戶第二次訪問同一網(wǎng)站的時候，其瀏覽器將會自動從計算機硬盤讀入地理位置信息并發(fā)送給服務(wù)器端，從而自動獲取為其定制的網(wǎng)絡(luò)信息和服務(wù)。如圖1所示，本方法首先掃描計算機磁盤，獲取存儲在磁盤上的所有HTTP協(xié)議頭；然后根據(jù)地理位置數(shù)據(jù)庫構(gòu)建地理位置名稱樹和二維地理位置權(quán)重值鏈表；之后掃描 HTTP協(xié)議頭文件，遍歷地理位置名稱樹與其匹配，如果成功匹配到地理位置名稱樹的葉子結(jié)點則修改該葉子結(jié)點的權(quán)重值；最后生成數(shù)據(jù)字典，按照權(quán)重值大小降序排序，輸出計算后的地理位置信息。具體的，本發(fā)明提出的基于HTTP協(xié)議頭的磁盤地理位置定位方法的具體步驟包括以下四個步驟
1)掃描計算機磁盤，生成HTTP協(xié)議頭文件的步驟；
2)構(gòu)建地理位置名稱樹和二維地理位置權(quán)重值鏈表的步驟；
3)地理位置名稱樹與HTTP協(xié)議頭文件匹配，計算權(quán)重值的步驟；
4)生成數(shù)據(jù)字典并對其排序，輸出地理位置信息的步驟。圖2是掃描計算機磁盤，生成HTTP協(xié)議頭文件的步驟。圖2給出了本發(fā)明提出的掃描計算機磁盤，生成HTTP協(xié)議頭文件的具體步驟。 HTTP協(xié)議是互聯(lián)網(wǎng)上應(yīng)用最為廣泛的一種網(wǎng)絡(luò)協(xié)議。所有的WWW文件都遵守這個標(biāo)準(zhǔn)。其協(xié)議頭由一個起始行和一個或者多個HTTP頭域組成。HTTP頭域由一個域名，冒號()和域值三部分組成。本方法根據(jù)HTTP協(xié)議的定義，掃描計算機磁盤文件并提取存儲在文件中的HTTP協(xié)議頭信息。具體地，本發(fā)明提出的掃描計算機磁盤，生成HTTP協(xié)議頭文件的步驟包括以下步驟1)構(gòu)建HTTP協(xié)議頭數(shù)據(jù)域鏈表的步驟；2)掃描計算機磁盤，遍歷所有文件的步驟；3)對每個文件進(jìn)行分行操作的步驟；4)抽取HTTP頭域的步驟；其包括以下步驟a)匹配以‘HTTP/版本號，開始的起始行，標(biāo)識其為一個HTTP協(xié)議頭的開始的步驟；b)匹配到數(shù)據(jù)域鏈表中的結(jié)點，抽取該數(shù)據(jù)域的步驟；c)匹配到另一個HTTP協(xié)議頭的開始則完成上一個協(xié)議頭的抽取，開始新的匹配的步馬聚ο
5)掃描所有文件，將抽取的所有HTTP協(xié)議頭存放在指定文件的步驟。 圖3是構(gòu)建地理位置名稱樹和二維地理位置權(quán)重值鏈表的步驟。
圖3給出了本發(fā)明提出的構(gòu)建地理位置名稱樹和二維地理位置權(quán)重值鏈表的具體步驟。為了構(gòu)建地理位置名稱樹，該方法首先讀入一個國家的地理位置信息數(shù)據(jù)庫，然后以省(州)名稱作為地理位置名稱樹的第一層結(jié)點，以各省(州)所轄的城市，縣等行政單位作為地理位置名稱樹的第二層結(jié)點構(gòu)建地理位置名稱樹，為該樹的每一個葉子結(jié)點生成對應(yīng)的權(quán)重值。本發(fā)明提出的構(gòu)建地理位置名稱樹和二維地理位置權(quán)重值鏈表的步驟包括以下步驟1)讀入地理位置名稱數(shù)據(jù)庫的步驟；2)構(gòu)建州(省)名字全稱鏈表的步驟；3)構(gòu)建州(省)名字縮寫鏈表的步驟；4)為州(省)名字列表中的每一個結(jié)點構(gòu)建對應(yīng)的子鏈表的步驟；5)為每一個子鏈表填充該州(省)所轄市，縣名稱的步驟；6)為每一個子鏈表構(gòu)建相應(yīng)的權(quán)重值鏈表，生成二維權(quán)重值鏈表的步驟；7)初始化二維權(quán)重值鏈表，每一個結(jié)點的初始權(quán)重均賦值為0的步驟。
圖4是地理位置名稱樹與HTTP協(xié)議頭文件匹配，計算權(quán)重值的步驟。
圖4給出了本發(fā)明提出的地理位置名稱樹與HTTP協(xié)議頭文件匹配，計算權(quán)重值的具體步驟。該方法將HTTP協(xié)議頭文件與地理位置名稱樹進(jìn)行匹配，如果匹配到地理位置名稱樹中的葉子結(jié)點，則對該結(jié)點的權(quán)重值做加操作，否則繼續(xù)遍歷地理位置名稱樹。本發(fā)明提出的計算權(quán)重值，生成數(shù)據(jù)字典結(jié)構(gòu)并對其進(jìn)行排序，輸出地理位置及時間的步驟包括以下步驟1)讀取HTTP協(xié)議頭文件的步驟；2)抽取每個HTTP協(xié)議頭中的Cookie數(shù)據(jù)域的步驟；3)遍歷每一個Cookie數(shù)據(jù)域，與地理位置名稱樹匹配的步驟；4)將每個Cookie數(shù)據(jù)域轉(zhuǎn)化為英文大寫字符串的步驟；此步驟是為了忽略英文字母大小寫，為后繼字符串匹配步驟做準(zhǔn)備；5)將地名鏈表中每個結(jié)點的內(nèi)容轉(zhuǎn)化為英文大寫字符串的步驟；6)權(quán)重值修改的步驟，包括以下步驟
a)掃描每一個Cookie數(shù)據(jù)域的步驟；
b)匹配到州(省)名字全稱鏈表中的結(jié)點的步驟；
c)匹配到州(省)名字縮寫鏈表中的結(jié)點的步驟；
d)如果匹配到州(省)名字全稱鏈表中的結(jié)點，或者到州(省)名字縮寫鏈表中的結(jié)點， 則將該結(jié)點對應(yīng)的子鏈表與此Cookie數(shù)據(jù)域匹配的步驟；
e)如果匹配到子鏈表中的某一個結(jié)點則對該結(jié)點對應(yīng)的權(quán)重值做加操作的步驟。圖5是生成數(shù)據(jù)字典并對其排序，輸出地理位置信息的步驟。圖5給出了本發(fā)明提出的生成數(shù)據(jù)字典并對其排序，輸出地理位置信息的具體步驟。該方法把計算后的權(quán)重值與其對應(yīng)的地理位置信息做為數(shù)據(jù)字典的元素構(gòu)建數(shù)據(jù)字典；然后對數(shù)據(jù)字典按照權(quán)重值大小降序排序；最后掃描HTTP協(xié)議頭文件中的Date數(shù)據(jù)域獲取時間信息并輸出計算后的結(jié)果信息。本發(fā)明提出的生成數(shù)據(jù)字典并對其排序，輸出地理位置信息的步驟包括以下步驟
1)構(gòu)建數(shù)據(jù)字典，字典的每個元素包括州(省)名字全稱，市或縣名稱，以及其對應(yīng)的權(quán)重數(shù)值州州的步驟；
2)對字典數(shù)據(jù)結(jié)構(gòu)按照權(quán)重大小進(jìn)行降序排序的步驟；
3)對排序后的字典數(shù)據(jù)結(jié)構(gòu)遍歷的步驟；
4)掃描HTTP協(xié)議頭文件，匹配權(quán)重值大于零的結(jié)點，獲取對應(yīng)的Date數(shù)據(jù)域的步
驟；
5)輸出地理位置信息及其對應(yīng)的時間的步驟。
權(quán)利要求
1.一種基于HTTP協(xié)議頭的磁盤地理位置定位方法，其特征在于，所述方法包括以下步驟.1)掃描計算機磁盤，生成HTTP協(xié)議頭文件的步驟；.2)構(gòu)建地理位置名稱樹和二維地理位置權(quán)重值鏈表的步驟；.3)地理位置名稱樹與HTTP協(xié)議頭文件匹配，計算權(quán)重值的步驟；.4)生成數(shù)據(jù)字典并對其排序，輸出地理位置信息的步驟。
2.根據(jù)權(quán)利要求1所述的一種基于HTTP協(xié)議頭的磁盤地理位置定位方法，其特征是， 所述掃描計算機磁盤，生成HTTP協(xié)議頭文件的步驟包括以下步驟.1)構(gòu)建HTTP協(xié)議頭數(shù)據(jù)域鏈表的步驟；.2)掃描計算機磁盤，遍歷所有文件的步驟；.3)對每個文件進(jìn)行分行操作的步驟；.4)抽取HTTP頭域的步驟；其包括以下步驟a)匹配以‘HTTP/版本號，開始的起始行，標(biāo)識其為一個HTTP協(xié)議頭的開始的步驟；b)匹配到數(shù)據(jù)域鏈表中的結(jié)點，抽取該數(shù)據(jù)域的步驟；c)匹配到另一個HTTP協(xié)議頭的開始則完成上一個協(xié)議頭的抽取，開始新的匹配的步驟；.5)掃描所有文件，將抽取的所有HTTP協(xié)議頭存放在指定文件的步驟。
3.根據(jù)權(quán)利要求1所述的一種基于HTTP協(xié)議頭的磁盤地理位置定位方法，其特征是， 所述構(gòu)建地理位置名稱樹和二維地理位置權(quán)重值鏈表的步驟包括以下步驟.1)讀入地理位置名稱數(shù)據(jù)庫的步驟；.2)構(gòu)建州(省)名字全稱鏈表的步驟；.3)構(gòu)建州(省)名字縮寫鏈表的步驟；.4)為州(省)名字列表中的每一個結(jié)點構(gòu)建對應(yīng)的子鏈表的步驟；.5)為每一個子鏈表填充該州(省)所轄市，縣名稱的步驟；.6)為每一個子鏈表構(gòu)建相應(yīng)的權(quán)重值鏈表，生成二維權(quán)重值鏈表的步驟；.7)初始化二維權(quán)重值鏈表，每一個結(jié)點的初始權(quán)重均賦值為0的步驟。
4.根據(jù)權(quán)利要求1所述的一種基于HTTP協(xié)議頭的磁盤地理位置定位方法，其特征是， 所述地理位置名稱樹與HTTP協(xié)議頭文件匹配，計算權(quán)重值的步驟包括以下步驟.1)讀取HTTP協(xié)議頭文件的步驟；.2)抽取每個HTTP協(xié)議頭中的Cookie數(shù)據(jù)域的步驟；.3)遍歷每一個Cookie數(shù)據(jù)域，與地理位置名稱樹匹配的步驟；.4)將每個Cookie數(shù)據(jù)域轉(zhuǎn)化為英文大寫字符串的步驟；此步驟是為了忽略英文字母大小寫，為后繼字符串匹配步驟做準(zhǔn)備；.5)將地名鏈表中每個結(jié)點的內(nèi)容轉(zhuǎn)化為英文大寫字符串的步驟；.6)權(quán)重值修改的步驟，包括以下步驟a)掃描每一個Cookie數(shù)據(jù)域的步驟；b)匹配到州(省)名字全稱鏈表中的結(jié)點的步驟；c)匹配到州(省)名字縮寫鏈表中的結(jié)點的步驟；d)如果匹配到州(省)名字全稱鏈表中的結(jié)點，或者到州(省)名字縮寫鏈表中的結(jié)點， 則將該結(jié)點對應(yīng)的子鏈表與此Cookie數(shù)據(jù)域匹配的步驟；e)如果匹配到子鏈表中的某一個結(jié)點則對該結(jié)點對應(yīng)的權(quán)重值做加操作的步驟。
5.根據(jù)權(quán)利要求1所述的一種基于HTTP協(xié)議頭的磁盤地理位置定位方法，其特征是， 所述生成數(shù)據(jù)字典并對其排序，輸出地理位置信息的步驟包括以下步驟.1)構(gòu)建數(shù)據(jù)字典，字典的每個元素包括州(省)名字全稱，市或縣名稱，以及其對應(yīng)的權(quán)重數(shù)值州州的步驟；.2)對字典數(shù)據(jù)結(jié)構(gòu)按照權(quán)重大小進(jìn)行降序排序的步驟；.3)對排序后的字典數(shù)據(jù)結(jié)構(gòu)遍歷的步驟；.4)掃描HTTP協(xié)議頭文件，匹配權(quán)重值大于零的結(jié)點，獲取對應(yīng)的Date數(shù)據(jù)域的步驟；.5)輸出地理位置信息及其對應(yīng)的時間的步驟。
全文摘要
本發(fā)明針對計算機硬盤進(jìn)行地理位置定位，該方法首先從計算機硬盤中抽取HTTP協(xié)議頭信息；然后構(gòu)建地理位置名稱樹和二維權(quán)重值鏈表，掃描HTTP協(xié)議頭的Cookie數(shù)據(jù)域，對于每一個Cookie數(shù)據(jù)域，遍歷地名樹與其進(jìn)行匹配，如果匹配成功則對結(jié)點的權(quán)重做加操作；之后構(gòu)建數(shù)據(jù)字典，對其按權(quán)重值大小排序；最后掃描HTTP協(xié)議頭中的Date數(shù)據(jù)域，獲取該計算機硬盤出現(xiàn)在某一地理位置的時間。該方法可以獲取硬盤的歷史地理位置信息及出現(xiàn)在某一歷史位置的時間，從而為刑偵工作提供有力的物證。本發(fā)明的取證過程無需人工干預(yù)，能自動完成磁盤掃描，計算，生成最終結(jié)果，運行成本低，部署簡單，適用于計算機硬盤數(shù)字取證領(lǐng)域，具有廣泛的應(yīng)用前景。
文檔編號G06F17/30GK102571976SQ201210024268
公開日2012年7月11日 申請日期2012年2月5日 優(yōu)先權(quán)日2012年2月5日
發(fā)明者劉曉潔, 李濤, 梁剛, 胡曉勤, 龔勛 申請人:四川大學(xué)