案例
知識(shí)
隨筆
聲音
其他
編者按
針對(duì)P2P客戶(hù)端的取證分析資料比較少。筆者從國(guó)外論壇上找到此篇，用蹩腳的英語(yǔ)翻譯了一下，不知道合不合大家的胃口。
原作者：Michael Godfrey
注：此P2P，非互聯(lián)網(wǎng)P2P金融，想一想“快播”……
μTorrent軟件客戶(hù)端是全球最受歡迎的BitTorrent點(diǎn)對(duì)點(diǎn)軟件應(yīng)用程序。諸如受版權(quán)保護(hù)的電影和音樂(lè)，兒童色情和盜版內(nèi)容等違禁品文件經(jīng)常通過(guò)點(diǎn)對(duì)點(diǎn)（P2P）文件共享協(xié)議BitTorrent獲取。該研究將包括μTorrent客戶(hù)端的數(shù)字取證分析，特別是utorrent.com上發(fā)布的免費(fèi)版本（3.5.3 for Windows）。 與其他的P2P客戶(hù)端有所不同，μTorrent客戶(hù)端較好的保持了P2P協(xié)議原生態(tài)。它與BitTorrent（bittorrent.com）都?xì)wBitTorrent，Inc所有。
μTorrent適用于Windows，Mac，Linux，Android和iOS（僅適用于越獄設(shè)備）。運(yùn)行μTorrent的計(jì)算機(jī)可以與外部設(shè)備配對(duì)進(jìn)行查看（iOS和Android移動(dòng)設(shè)備，USB存儲(chǔ)設(shè)備和某些流媒體設(shè)備）。
用戶(hù)可以遠(yuǎn)程安全地管理在計(jì)算機(jī)上運(yùn)行的μTorrent。然后可以從另一臺(tái)配備網(wǎng)絡(luò)瀏覽器的計(jì)算機(jī)或移動(dòng)設(shè)備訪(fǎng)問(wèn)他們的μTorrent客戶(hù)端。
BitTorrent使用跟蹤器允許客戶(hù)端找到對(duì)等物，稱(chēng)為種子。 BitTorrent協(xié)議不是從單個(gè)源（節(jié)點(diǎn)）下載文件，而是允許用戶(hù)加入一群主機(jī)來(lái)上傳和下載內(nèi)容。種子是擁有整個(gè)文件的節(jié)點(diǎn)。想要分發(fā)文件的用戶(hù)必須首先創(chuàng)建一個(gè)只包含元數(shù)據(jù)且具有.torrent文件擴(kuò)展名的小型torrent描述符文件。 .torrent文件通過(guò)一個(gè)或多個(gè)Torrent網(wǎng)站（稱(chēng)為Indexer）分發(fā)，允許用戶(hù)搜索特定內(nèi)容并下載適用的.torrent文件。 .torrent文件包含特定的跟蹤器信息。跟蹤器是一種服務(wù)器，用于跟蹤哪些對(duì)等體和種子具有要分發(fā)的文件片段。為“無(wú)跟蹤”種子創(chuàng)建分布式哈希表（DHT）方法使得跟蹤器變得多余。
將.torrent文件加載到其BitTorrent客戶(hù)端的用戶(hù)可以通過(guò)BitTorrent的DHT通信功能在其他BitTorrent節(jié)點(diǎn)（對(duì)等體或種子）之間建立連接。正在分發(fā)的文件被分成段（片段），因?yàn)槊總€(gè)新對(duì)等體接收新片段，該對(duì)等體現(xiàn)在成為該片段的分發(fā)者。每個(gè)部分都受加密哈希（SHA1）保護(hù)。 BitTorrent客戶(hù)端將識(shí)別需要哪些部分才能獲得完整的文件。一旦對(duì)等體下載了完整的文件，它就會(huì)成為分發(fā)種子。
BitTorrent不保證其參與者的匿名性。可以通過(guò)客戶(hù)端用戶(hù)界面或netstat Windows命令輕松識(shí)別連接對(duì)等體的IP，該命令將顯示連接的對(duì)等體和種子。 BitTorrent的標(biāo)準(zhǔn)端口（包括μTorrent客戶(hù)端）是TCP / UDP端口6881-6889（跟蹤器端口為6969）。
μTorrent客戶(hù)端
默認(rèn)安裝將μTorrent客戶(hù)端的所有文件放在用戶(hù)的應(yīng)用程序數(shù)據(jù)目錄中，如下所示：C：\ Users \ \應(yīng)用程序數(shù)據(jù)\漫游\ uTorrent的\
以下配置文件包含有關(guān)應(yīng)用程序設(shè)置和歷史的相關(guān)信息：
· resume.dat
· settings.dat
· dht.dat（分布式哈希表）
· rss.dat
如果客戶(hù)端關(guān)閉，則備份上述DAT文件并附加.old作為新文件擴(kuò)展名。以下圖形是在Windows 10中進(jìn)行全新安裝后的μTorrent目錄。安裝后，但在啟動(dòng)之前，應(yīng)用程序顯示在左側(cè)。右邊是首次啟動(dòng)μTorrent后的應(yīng)用程序文件，將TEST.torrent添加到客戶(hù)端，然后將其關(guān)閉。
BEncode編輯器
DAT文件和.torrent文件是用BEncode編寫(xiě)的。因此，要查看內(nèi)容，必須使用能夠解碼BEncode文件的工具，例如BEncode Editor。
在BEncode編輯器中查看這些文件時(shí)，將顯示數(shù)據(jù)，其中的指示符顯示每個(gè)標(biāo)題旁邊的數(shù)據(jù)類(lèi)型：
· 字節(jié)串：（b）
· 整數(shù)：（i）（基本10個(gè)ASCII字符）
· 列表：（l）
· 字典：（d）
· 括號(hào)括起來(lái)的數(shù)字：[48]，表示基于數(shù)據(jù)類(lèi)型的數(shù)量（字節(jié)字符串，整數(shù)，列表或字典）：
· 字節(jié)字符串：字節(jié)數(shù)或字符數(shù)
· 整數(shù)：位數(shù)
· 列表和詞典：列表或詞典中的項(xiàng)目數(shù)
以下是使用BEncode Editor查看的settings.dat文件的內(nèi)容。
μTorrentDAT文件
settings.dat
文件包含設(shè)置和配置數(shù)據(jù)。
· autostart =：0 = OFF，否則將無(wú)法進(jìn)入
· ct_hist [＃]：此客戶(hù)端創(chuàng)建的.torrent文件數(shù)（括號(hào)內(nèi)），包括用戶(hù)用來(lái)創(chuàng)建.torrent文件的文件/文件夾的路徑和名稱(chēng); 知識(shí)和意圖的良好指標(biāo); 可能指向外部媒體或其他存儲(chǔ)驅(qū)動(dòng)器/目錄位置
· born_on = 13036184115：輕量級(jí)目錄訪(fǎng)問(wèn)協(xié)議（LDAP）時(shí)間或FILETIME，自1601年1月1日起100納秒間隔的數(shù)量 - 必須在EpochConverter中添加7個(gè)尾隨零
· 設(shè)備：此處列出的配對(duì)設(shè)備包括設(shè)備名稱(chēng)，USB VID和PID以及序列號(hào)
· · auto_transfer =：0 = OFF / 1 = ON
· · usb_id：包含USB設(shè)備供應(yīng)商ID（VID）和產(chǎn)品ID（PID），以及USB設(shè)備電子序列號(hào)和可能的設(shè)備友好名稱(chēng)
下圖顯示了連接兩個(gè)設(shè)備的μTorrent設(shè)備界面：iPhone / iPod和Apple iPhone 3GS。
dir_last條目是當(dāng)用戶(hù)添加相關(guān)的.torrent文件并選擇“選擇保存目錄”選項(xiàng)時(shí)，用戶(hù)選擇下載Torrent文件的目錄（見(jiàn)下圖）。 對(duì)于以這種方式添加的每個(gè)新.torrent文件，都會(huì)更新dir_last條目。
* dir_active_download：用戶(hù)設(shè)置的位置，用于保存新的下載
* dir_autoload：用戶(hù)設(shè)置的位置自動(dòng)加載Torrent文件
* dir_completed_torrents：用戶(hù)設(shè)置的位置，用于存儲(chǔ)已完成的下載
* dir_completed_torrents：用戶(hù)設(shè)置的位置，用于存檔已完成的.torrent文件
* dir_torrent_files：用戶(hù)設(shè)置的位置，用于存儲(chǔ)客戶(hù)端下載的torrent文件
（*）僅當(dāng)用戶(hù)使用“首選項(xiàng)”菜單更改了特定目錄的默認(rèn)位置時(shí)，才會(huì)顯示上述設(shè)置（請(qǐng)參見(jiàn)下圖），否則不會(huì)出現(xiàn)任何條目。
· runs_since_born：自安裝以來(lái)程序啟動(dòng)和關(guān)閉的次數(shù)
· runtime_since_born_secs：程序運(yùn)行的秒數(shù)
· search_list：μTorrent工具欄中使用的Torrent搜索站點(diǎn)列表，可以由用戶(hù)添加，導(dǎo)致用戶(hù)的Web瀏覽器加載搜索站點(diǎn)，因此請(qǐng)查看Internet History
· settings_saved_systime：上次更改客戶(hù)端設(shè)置時(shí)，UNIX時(shí)間
遠(yuǎn)程訪(fǎng)問(wèn)
配置為遠(yuǎn)程訪(fǎng)問(wèn)的系統(tǒng)將允許用戶(hù)使用Web界面控制在遠(yuǎn)程系統(tǒng)上運(yùn)行的uTorrent客戶(hù)端。 要啟動(dòng)遠(yuǎn)程訪(fǎng)問(wèn)，用戶(hù)將導(dǎo)航到https://remote.utorrent.com并輸入以前配置的計(jì)算機(jī)名稱(chēng)和密碼。 在進(jìn)行身份驗(yàn)證后，將向用戶(hù)顯示一個(gè)Web界面，該界面與遠(yuǎn)程系統(tǒng)上的uTorrent客戶(hù)端狀態(tài)幾乎完全相同。 下圖描繪了遠(yuǎn)程訪(fǎng)問(wèn)Web界面（頂部）和實(shí)際的uTorrent客戶(hù)端（底部）。
以下是settings.dat中更相關(guān)的條目，如果客戶(hù)端設(shè)置為通過(guò)操作，將出現(xiàn)
使用首選項(xiàng)>遠(yuǎn)程菜單設(shè)置進(jìn)行遠(yuǎn)程訪(fǎng)問(wèn)連接。 必須提供唯一的名稱(chēng)
任何密碼都將被接受。 下圖顯示了啟用的遠(yuǎn)程訪(fǎng)問(wèn)設(shè)置：
· upnp.external_ip：安裝客戶(hù)端的計(jì)算機(jī)的最后一個(gè)外部（可路由）IP將存儲(chǔ)在此處; 見(jiàn)下圖
· upnp_cached_host：本地網(wǎng)絡(luò)上IGDdevicedesc.xml文件的通用即插即用（upnp）URL; 將包括本地網(wǎng)絡(luò)網(wǎng)關(guān)IP和端口; 用于促進(jìn)網(wǎng)絡(luò)連接
· upnp.external_ip：安裝客戶(hù)端的計(jì)算機(jī)的外部（可路由）IP
· webui.ssdp_uuid：通用唯一標(biāo)識(shí)符（最后6個(gè)字符代表網(wǎng)絡(luò)接口的MAC地址）
· webui.ucinnect_hashword：遠(yuǎn)程訪(fǎng)問(wèn)登錄密碼的Salted SHA-1哈希
· webui.ucinnect_username：用戶(hù)在“首選項(xiàng)”>“遠(yuǎn)程”中分配的計(jì)算機(jī)的名稱(chēng)
resume.dat
在客戶(hù)端關(guān)閉時(shí)存儲(chǔ)狀態(tài)信息
· added_on =：Time Torrent已添加到客戶(hù)端（UNIX時(shí)間）
· completed_on =：完全下載或創(chuàng)建Time Torrent（UNIX時(shí)間）
· created_torrent =：1 =客戶(hù)端創(chuàng)建了torrent，0 =客戶(hù)端沒(méi)有創(chuàng)建torrent
· download_url =：如果客戶(hù)端使用“從URL添加torrent”功能
· downloaded =：到目前為止下載的文件的字節(jié)數(shù)
· last_seen_complete =：上次客戶(hù)端正在播種整個(gè)文件（UNIX時(shí)間）
· last_active =：此客戶(hù)端上次播放或共享文件的時(shí)間（UNIX時(shí)間）
· path [##] =：保存?zhèn)魅胛募穆窂剑ㄌ?hào)中此Torrent的文件數(shù)
· runtime =：時(shí)間文件已在客戶(hù)端下載（或下載后的播種時(shí)間）
· seedtime =：客戶(hù)端已播種文件的秒數(shù)
· started =：客戶(hù)端上次退出時(shí)的文件狀態(tài)（0 =已停止，1 =強(qiáng)制啟動(dòng)，2 =已啟動(dòng)，3 =正在運(yùn)行/未下載）
· uploaded =：該特定文件的上傳（共享）字節(jié)數(shù)
· uploaded =：該特定文件的上傳（共享）字節(jié)數(shù)
· peers6 [##] =：在客戶(hù)端退出時(shí)共享此文件的IP和端口（包括客戶(hù)端的本地和外部IP，IPv4和IPv6），請(qǐng)參閱下面的轉(zhuǎn)換數(shù)據(jù)以識(shí)別IP地址的過(guò)程。
使用以下過(guò)程查看每個(gè)對(duì)等方的IP地址：
o resume.dat文件的peers6字段包含客戶(hù)端與之通信的每個(gè)對(duì)等方的IP地址，以便通過(guò)BitTorrent協(xié)議參與內(nèi)容共享。
o在resume.dat文件的peers6字段中，選擇“Raw BEncoded Data”和“as Binary”的顯示選項(xiàng)。
o從十六進(jìn)制轉(zhuǎn)換為十進(jìn)制以獲取IP。
o最后4個(gè)十六進(jìn)制字符代表端口（Big Endian）。
o按照以下步驟翻譯數(shù)據(jù)，以便識(shí)別每個(gè)對(duì)等方的IP地址。
打開(kāi)peers6條目旁邊的數(shù)據(jù)字段：
將此十六進(jìn)制數(shù)據(jù)復(fù)制并粘貼到Notepad ++中，然后創(chuàng)建一個(gè)每行36個(gè)字符的新行。 每行顯示IPv6（如果不存在IPv6則全為零），后跟IPv6端口（如果沒(méi)有IPv6，則為FFFF），后跟IPv4（8個(gè)字符）和IPv4端口（4個(gè)字符）：
字節(jié)字符串（36個(gè)字符）：00000000000000000000FFFFC0A80177B0E3
IPv4 IP和端口：FFFFC0A80177B0E3
IPv4地址（從十六進(jìn)制轉(zhuǎn)換為十進(jìn)制）：
C0A80177：E3B0
C0 = 192
A8 = 168
01 = 1
77 = 119
端口（Little Endian）：E3B0 = 58,288（端口）
轉(zhuǎn)換：192.168.1.119：58288
dht.dat
包含客戶(hù)端在連接到分布式哈希表（DHT）網(wǎng)絡(luò)以共享聯(lián)系信息時(shí)使用的數(shù)據(jù)，因此從事下載相同文件的用戶(hù)可以相互發(fā)現(xiàn)。此文件還存儲(chǔ)客戶(hù)端面向外的IP地址。這是一個(gè)有用的工件，因?yàn)榇蠖鄶?shù)Windows工件只存儲(chǔ)本地不可路由的IP地址。請(qǐng)務(wù)必查看dht.dat.old，因?yàn)檫@是該用戶(hù)上次關(guān)閉μTorrent客戶(hù)端時(shí)的文件的先前版本。
age：上次更新的時(shí)間，或客戶(hù)端關(guān)閉時(shí)（UNIX十進(jìn)制），將客戶(hù)端的IP與日期/時(shí)間相關(guān)聯(lián)的良好指示。
ip：以十六進(jìn)制表示客戶(hù)端的可路由IP地址（由客戶(hù)端的服務(wù)提供商分配），按照以下步驟轉(zhuǎn)換數(shù)據(jù)以識(shí)別面向外部的客戶(hù)端IP。
雙擊右側(cè)的文本數(shù)據(jù)（例如：G>＃?。?div style="height:15px;">
選擇顯示選項(xiàng)：“Raw BEncoded Data”和“as Binary”：
將hex轉(zhuǎn)換為十進(jìn)制：
47= 71
3E= 62
23= 35
21 =33
轉(zhuǎn)換IP：71.62.35.33
在上面的測(cè)試示例中，訪(fǎng)問(wèn)網(wǎng)站www.whatismyipaddress.com公開(kāi)了測(cè)試Windows計(jì)算機(jī)系統(tǒng)的正確翻譯的IP地址，而不僅僅是本地IP。
nodes：包含客戶(hù)端正在與之通信的每個(gè)對(duì)等方的IP地址（IPv6和IPv4），以便通過(guò)BitTorrent協(xié)議參與內(nèi)容共享。 要轉(zhuǎn)換數(shù)據(jù)，請(qǐng)按照以下步驟操作。
· 26字節(jié)（52個(gè)十六進(jìn)制數(shù)字）：
要確定客戶(hù)端正在與之通信的對(duì)等端的總數(shù)，請(qǐng)將括號(hào)中的數(shù)字（在下面的示例中為10036）除以26（字符串中的十六進(jìn)制字節(jié)），以確定數(shù)據(jù)中包含的IP地址總數(shù)（386） 下例中的IP） - 顯示類(lèi)型“Binary / as Binary”，如下所示。
· id（b）[20] =：包含客戶(hù)端節(jié)點(diǎn)的唯一ID，20個(gè)十六進(jìn)制字符對(duì)。 要顯示數(shù)據(jù)，請(qǐng)選擇：“Raw BEncoded Data”和“as Binary”：
Torrent文件
要使用BitTorrent協(xié)議分發(fā)文件，需要?jiǎng)?chuàng)建.torrent文件并播種。 在客戶(hù)端中，可以使用以下過(guò)程創(chuàng)建.torrent文件。
· 在μTorrent中，選擇FILE，創(chuàng)建Torrent
· 選擇單個(gè)文件或包含將與torrent文件關(guān)聯(lián)的文件的目錄的內(nèi)容
· 添加或更改種子跟蹤器URL信息
· 根據(jù)需要添加有關(guān)torrent內(nèi)容的任何評(píng)論
· 檢查開(kāi)始播種
· 選擇創(chuàng)建
· 提供torrent文件的名稱(chēng)，并確保文件類(lèi)型是Torrent文件：
需要BEncode查看器（BEncode Editor）才能查看.torrent文件的內(nèi)容。
· 宣布：跟蹤網(wǎng)站的網(wǎng)址
· announce-list：一個(gè)新密鑰，包含此torrent的所有跟蹤器的URL列表
o將按順序處理等級(jí)的通知
o在客戶(hù)端進(jìn)入下一層之前，必須檢查每個(gè)層中的所有URL
o與跟蹤器的第一次成功連接將導(dǎo)致它移動(dòng)到層的前面
· info：包含torrent中包含的每個(gè)文件的條目：
項(xiàng)目1（d）[n]：用數(shù)字表示哪個(gè)文件，括號(hào)中的數(shù)字是指
本節(jié)所含物品數(shù)量（2）
length（i）=：文件的字節(jié)數(shù)
path（i）[n]：文件名
name（b）[n] =：torrent的名稱(chēng)（不要與.torrent文件本身的名稱(chēng)混淆）
piece length（i）=：每個(gè)torrent文件被分割成的字節(jié)數(shù)，通過(guò)添加所有文件大小到達(dá)，并將此數(shù)字除以2,040
pieces（b）[n]：包括串在一起的所有部分的完整SHA1字符，n = SHA1連接哈希的總字節(jié)數(shù)
下圖說(shuō)明了torrent文件的info部分的內(nèi)容。 每個(gè)文件合并為一個(gè)流，然后拆分成固定的片段長(zhǎng)度，以便使用BitTorrent協(xié)議進(jìn)行有效傳輸。
生成.torrent文件后，需要對(duì)其進(jìn)行播種，以便其他人可以根據(jù)使用關(guān)鍵字的搜索來(lái)查找文件。 下圖顯示了TEST.torrent的Info選項(xiàng)卡，顯示有一個(gè)swarm成員連接了一個(gè)對(duì)等體（都是測(cè)試客戶(hù)端），內(nèi)容包含在33個(gè)中，每個(gè)大小為1 MB。 TEST.torrent由μTorrentv3.5.3于3月2日14:15:01創(chuàng)建。
μTorrent統(tǒng)計(jì)
在μTorrent中，選擇“幫助” - >“顯示統(tǒng)計(jì)”
可以導(dǎo)出來(lái)自嫌疑人系統(tǒng)的整個(gè)μTorrent目錄，并將其安裝在具有相同操作系統(tǒng)的測(cè)試VM中，以便在上次關(guān)閉時(shí)模擬（查看）嫌疑人的μTorrent狀態(tài)：
首先在目標(biāo)系統(tǒng)上安裝相同版本的μTorrent（在更新文件夾中查找已安裝版本的.exe文件）。 請(qǐng)注意，此“仿真”會(huì)增加統(tǒng)計(jì)信息以包含您的測(cè)試（例如，程序啟動(dòng)時(shí)間+1），因此請(qǐng)根據(jù)需要使用VM快照并進(jìn)行還原。
μTorrent搜索工具
在μTorrent中，用戶(hù)可以搜索內(nèi)容并顯示torrent文件索引器的站點(diǎn)結(jié)果。 搜索活動(dòng)將在網(wǎng)絡(luò)歷史記錄中捕獲，因?yàn)樗褂媚J(rèn)瀏覽器來(lái)運(yùn)行搜索。
μTorrent在Windows注冊(cè)表中的信息
以下Windows注冊(cè)表項(xiàng)與μTorrent的安裝和使用相關(guān)聯(lián)：
NTUSER.DAT\軟件\微軟\的Windows \ CurrentVersion\卸載\ uTorrent的
NTUSER.DAT\ SOFTWARE \ BitTorrent的\ uTorrent的
ntuser.dat \ Software \ Microsoft \ Windows \ CurrentVersion \ Explorer \ FileExts \ .torrent \ OpenWithList
· 如果安裝了多個(gè)客戶(hù)端（以及何時(shí)），將顯示哪個(gè)BitTorrent客戶(hù)端類(lèi)型是首選
· 值=表示已分配程序順序的字母
ntuser.dat \ Software \ Microsoft \ Windows \ CurrentVersion \ Explorer \ RecentDocs \ .torrent
- 顯示最近訪(fǎng)問(wèn)的Torrent文件
ntuser.dat \ Software \ Microsoft \ Windows \ CurrentVersion \ Explorer \ ComDlg32 \ OpenSavePidlMRU \ torrent
- 顯示通過(guò)Windows對(duì)話(huà)框shell打開(kāi)或保存的Torrent文件
usrclass.dat \ Local Settings \ Software \ Microsoft \ Windows \ Shell \ MuiCache
- 執(zhí)行應(yīng)用程序時(shí)，Windows將檢索應(yīng)用程序名稱(chēng)并將其存儲(chǔ)
- 顯示已執(zhí)行的應(yīng)用程序
使用Notepad ++
Notepad ++可用于幫助翻譯從存儲(chǔ)在DAT文件或torrent文件中的編碼數(shù)據(jù)中檢索的原始數(shù)據(jù)。
在每個(gè)第n個(gè)字符后強(qiáng)制字符串進(jìn)入新行：
· 將數(shù)據(jù)復(fù)制并粘貼到Notepad ++
· 刪除字節(jié)字符串?dāng)?shù)據(jù)中的任何前導(dǎo)'x0'）
· 選擇CTRL + H進(jìn)入查找和替換菜單
· 在'查找內(nèi)容'中輸入：^。{n}
· 在'替換為'中輸入：$ 0 \ r \ n
· 將{n}替換為每行前面的字符數(shù)（在下面的示例中，使用了{(lán)20}）
· · 對(duì)eer6使用36（resume.dat） - IP /端口
· · 對(duì)節(jié)點(diǎn)使用52（dht.dat） - 節(jié)點(diǎn)ID / IP /端口
· · 使用40作為片段（.torrent文件） - SHA1字符
· 選擇正則表達(dá)式
· 然后可以將結(jié)果復(fù)制到Excel
關(guān)于作者
Michael Godfrey是ManTech International的高級(jí)數(shù)字取證審查員，之前是分配給費(fèi)爾法克斯VA的DHS網(wǎng)絡(luò)犯罪中心的國(guó)土安全調(diào)查特別代理人。
