小編注：這篇文章是兩年前看到的，時至今日，有些問題已經(jīng)不比從前了。比如：其一，目前的聊天記錄文件早已升級成msg3.0.db，其二，硬盤存儲的小概率位錯誤，顯然會造成Hash值的變化。但是關(guān)于取證的思路和做法，還是值得借鑒的。于律師而言，可以從中發(fā)現(xiàn)不當(dāng)?shù)蔫Υ茫阌诳罐q；于偵查人員而言，可以不斷完善自己的取證過程，減少瑕疵。大家姑且一看吧。
取硬盤、具體的實施操作過程錄像。屏幕也錄下像（用軟件）。
公安如果有自己的程序，就按照他們自己的程序，比如在場人員和操作人員簽個字之類的。
硬盤拿下來之后，可以先進行一次復(fù)制，或者制作鏡像。然后對硬盤進行HASH值計算。
如果做了復(fù)制，或者鏡像，那么就用復(fù)制的盤進行操作。
一定要將檢材硬盤用只讀接口連接上取證的機器，再進行分析。
給機器和硬盤編號、拍照。
最好有一個完整的記錄鏈，用來說明，檢材的狀態(tài)、存放位置，始終處于可控狀態(tài)。
操作現(xiàn)場也可以有個記錄，或者有個報告，說明當(dāng)時的環(huán)境，以及取證的計算機的一些設(shè)備、配置、系統(tǒng)等。
使用取證軟件（如SA、取證大師等）對檢材硬盤進行即時通信分析。
如果是QQ2008或更早版本，可以直接分析出來。
如果是QQ2009或更新版本，則先要在本地（也就是進行取證的機器上）登錄要解析的QQ賬號。然后在SA即時通信分析窗口中，勾選 ，在彈出的窗口中選擇要解析的QQ號（也就是已經(jīng)在本地機器上已經(jīng)登錄了的），獲取KEY。獲取成功后，就可以分析出該賬號所有的聊天記錄，包括被刪除的。
QQ大致的加密原理：QQ對密碼和聊天內(nèi)容的保存，都不是明文的，是進行過加密的。在登錄的時候，我們輸入的會密碼進行2次MD5運算，之后，發(fā)送到騰訊的服務(wù)器上，再生成一個KEY。這個KEY會發(fā)回給本地的QQ，用這個KEY進行登錄的驗證以及對聊天內(nèi)容的解碼。
通過了解加密原理，可以知道，QQ聊天記錄的解析，關(guān)鍵在于，得到這個KEY。為了得到這個KEY，我們就需要成功登錄上QQ，然后將騰訊服務(wù)器上的發(fā)回來的KEY截獲，這樣就可以解析該QQ號中所有的聊天記錄了。
我們的操作步驟為什么能保證證據(jù)的合法性、完整性、原始性？
因為QQ將聊天記錄，保存在安裝目錄下的“msg2.0.db”文件中。如果我們將檢材硬盤接在只讀接口上，那么，檢材中的“msg2.0.db”是不會被修改的。而我們的SA雖然需要通過在本地登錄上該QQ賬號來獲取KEY。但最終解析的是檢材中的“msg.2.0.db”文件。所以，是不會出現(xiàn)證據(jù)遭到破壞的問題。這樣就能保證證據(jù)的合法性、完整性、原始性。
做完所有操作之后，再對硬盤進行一次HASH運算，和一開始做的HASH值做對比。
如果有必要，寫個說明什么的，解釋下原理，說清楚操作步驟為啥能保證證據(jù)原始性。
因為是公安自己做，所以，我們并不知道這屬于刑事證據(jù)中的哪一種。電子證據(jù)至今歸為哪一類，還有爭議。如果是我們鑒定出來的，那就算是鑒定結(jié)論，就有詳細(xì)的標(biāo)準(zhǔn)可尋。但公安要將其分為哪一類證據(jù)，就需要根據(jù)他們的要求做調(diào)整。
以上只是作為一個參考，檢察院會提出什么問題，我們也不知道。從技術(shù)角度上講。已經(jīng)能夠保證證據(jù)的原始性、合法性了。
