ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 25.11.2019
Просмотров: 1872
Скачиваний: 1
нительна сама возможность проведения компьютернотехнической
экспертизы, когда объект исследования (whoisсервер, база данных
регистратора) находится не в распоряжении эксперта, а неизвестно
где, на другом конце мира.
●
Обнаружить в ходе экспертизы на компьютере соответствующего ли
ца свидетельства соединения и успешной авторизации на интерфейсе
регистратора доменов. Практически все регистраторы предоставляют
владельцам доменных имен возможность удаленно управлять своими
доменами через вебинтерфейс на вебсайте регистратора. На после
дующей иллюстрации приводится одна из страниц такого вебинтер
фейса регистратора АНО «РСИЦ» (товарный знак «РУЦентр»). Сам
факт успешного доступа к этой странице говорит о прохождении авто
ризации. Значит, лицо, на компьютере которого обнаружена такая
вебстраница, знало верный пароль. А это, скорее всего, означает, что
оно и было владельцем домена.
●
Получить справку о регистрации доменного имени у соответствующе
го регистратора или в техническом центре РОСНИИРОС, который
поддерживает единую базу данных регистраторов зон RU и SU. Очень
хороший способ, но годится только для тех случаев, когда регистратор
находится в России, в крайнем случае, в Белоруссии или на Украине.
У иностранного регистратора получить такую справку труднее, при
дется задействовать Интерпол.
179
Оперативнорозыскные мероприятия
Тем не менее реальные данные владельца доменного имени должны
храниться у регистратора. Для целей уголовного расследования их можно
получить, опираясь на закон «О милиции». Для гражданских дел истцам,
видимо, придется назначать ответчиком регистратора, затем в ходе судеб
ного разбирательства получать от него персональные данные истинного
владельца и затем менять ответчика.
Документирование
Немного сложнее обстоит дело с документированием принадлежнос
ти домена.
Как для уголовного, так и для гражданского процесса необходимо до
казать, что такоето доменное имя принадлежит такомуто лицу.
На практике применяются следующие методы (упорядочены от наи
менее к наиболее предпочтительному):
●
Оформить получение справки от whoisсервера рапортом оперуполно
моченного. Совсем не безупречный способ. Годится только если об
виняемый (ответчик) не намерен отрицать принадлежность доменно
го имени.
●
Заверить у нотариуса содержимое вебстраницы, представляющей со
бой вебинтерфейс к команде whois, например, такой, как изображена
на последней иллюстрации. Применяется для гражданских дел. Дале
ко не все нотариусы соглашаются заверять содержимое вебстраниц.
Но уж если такого нотариуса удалось найти, то нотариальное завере
ние производит на суд положительное впечатление. Но для специа
листа такой способ – почти профанация, ведь нотариус не видит, к ка
кой именно базе данных подключен вебинтерфейс. Следовательно,
его заверение – не более чем заверение надписи на заборе, сделанной
неизвестно кем неизвестно для каких целей.
●
Получить официальный ответ оператора связи (провайдера), который
имел отношение к обслуживанию этого доменного имени, например,
поддерживал для него DNSсервер или вебсайт. Вместо письма про
вайдера можно взять показания у соответствующего технического сот
рудника этого провайдера.
●
Получить показания свидетелей. Например, о том, что интересующее
нас лицо совершало определенные действия с доменным именем, дос
тупные только его владельцу.
●
Доказать факт оплаты соответствующим лицом услуг по регистрации
или продлению домена. Хотя оплачивать можно и чужой домен, но
тем не менее это хорошее косвенное доказательство.
●
Назначить компьютернотехническую экспертизу, в ходе которой
эксперт запросит нужный whoisсервер и о результатах напишет в сво
ем заключении. Способ несложный, но далеко не безупречный. Сом
178
Н.Н. Федотов
Форензика – компьютерная криминалистика
Клиентский веб!интерфейс регистратора доменных имен. Обнаружение
подобной страницы на диске пользователя свидетельствует о наличии
у него договора с регистратором
0x0010: 0030 50d0 4000 6906 9400 be31 ca4e 505e .0P.@.i....1.NP^
0x0020: 5419 833a 0019 dce0 93d3 0000 0000 7002 T..:..........p.
0x0030: faf0 6737 0000 0204 05ac 0101 0402 ..g7..........
21:27:09.265117 IP 80.94.84.25.25 > 190.49.202.78.33594: S
440205854:440205854(0) ack 3705705428 win 65535 <mss 1460,nop,nop,sackOK>
0x0000: 0013 7f8d f11a 0050 22ee 207d 0800 4500 .......P»..}..E.
0x0010: 0030 dab6 4000 4006 331a 505e 5419 be31 .0..@.@.3.P^T..1
0x0020: ca4e 0019 833a 1a3d 021e dce0 93d4 7012 .N...:.=......p.
0x0030: ffff 45b4 0000 0204 05b4 0101 0402 ..E...........
21:27:09.549685 IP 190.49.202.78.33594 > 80.94.84.25.25: . ack 1 win 65340
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
0x0010: 0028 50d9 4000 6906 93ff be31 ca4e 505e .(P.@.i....1.NP^
0x0020: 5419 833a 0019 dce0 93d4 1a3d 021f 5010 T..:.......=..P.
0x0030: ff3c 733b 0000 0000 0000 0000 .<s;........
21:27:10.177674 IP 80.94.84.25.25 > 190.49.202.78.33594: P 1:86(85) ack 1
win 65535
0x0000: 0013 7f8d f11a 0050 22ee 207d 0800 4500 .......P»..}..E.
0x0010: 007d dac7 4000 4006 32bc 505e 5419 be31 .}..@.@.2.P^T..1
0x0020: ca4e 0019 833a 1a3d 021f dce0 93d4 5018 .N...:.=......P.
0x0030: ffff b6b3 0000 3232 3020 6169 6873 2e66 ......220.aihs.f
0x0040: 6e6e 2e72 7520 4553 4d54 5020 5365 6e64 nn.ru.ESMTP.Send
0x0050: 6d61 696c 2038 2e31 332e 332f 382e 3133 mail.8.13.3/8.13
0x0060: 2e33 3b20 5375 6e2c 2031 3420 4a61 6e20 .3;.Sun,.14.Jan.
0x0070: 3230 3037 2032 313a 3237 3a31 3020 2b30 2007.21:27:10.+0
0x0080: 3130 3020 2843 4554 290d 0a 100.(CET)..
5
21:27:10.465809 IP 190.49.202.78.33594 > 80.94.84.25.25: P 1:35(34) ack 86
win 65255
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
0x0010: 004a 50e9 4000 6906 93cd be31 ca4e 505e .JP.@.i....1.NP^
0x0020: 5419 833a 0019 dce0 93d4 1a3d 0274 5018 T..:.......=.tP.
0x0030: fee7 895b 0000 6568 6c6f 2031 3930 2d34 ...[..ehlo.1904
0x0040: 392d 3230 322d 3738 2e73 7065 6564 792e 920278.speedy.
0x0050: 636f 6d2e 6172 0d0a com.ar..
6
21:27:10.466320 IP 80.94.84.25.25 > 190.49.202.78.33594: P 86:299(213) ack
35 win 65535
0x0000: 0013 7f8d f11a 0050 22ee 207d 0800 4500 .......P»..}..E.
0x0010: 00fd dacf 4000 4006 3234 505e 5419 be31 ....@.@.24P^T..1
0x0020: ca4e 0019 833a 1a3d 0274 dce0 93f6 5018 .N...:.=.t....P.
0x0030: ffff dcd0 0000 3235 302d 6169 6873 2e66 ......250aihs.f
0x0040: 6e6e 2e72 7520 4865 6c6c 6f20 3139 302d nn.ru.Hello.190
0x0050: 3439 2d32 3032 2d37 382e 7370 6565 6479 4920278.speedy
0x0060: 2e63 6f6d 2e61 7220 5b31 3930 2e34 392e .com.ar.[190.49.
0x0070: 3230 322e 3738 5d20 286d 6179 2062 6520 202.78].(may.be.
0x0080: 666f 7267 6564 292c 2070 6c65 6173 6564 forged),.pleased
0x0090: 2074 6f20 6d65 6574 2079 6f75 0d0a 3235 .to.meet.you..25
0x00a0: 302d 454e 4841 4e43 4544 5354 4154 5553 0ENHANCEDSTATUS
0x00b0: 434f 4445 530d 0a32 3530 2d50 4950 454c CODES..250PIPEL
0x00c0: 494e 494e 470d 0a32 3530 2d38 4249 544d INING..2508BITM
181
Оперативнорозыскные мероприятия
Принадлежность адреса электронной почты
Сообщения электронной почты фигурируют во многих уголовных и
гражданских делах. В некоторых они даже являются центральным дока
зательством. При помощи электронной почты заключаются сделки, про
исходит сговор о совершении преступления, совершается вымогатель
ство, передаются существенные для дела сведения. Во всех подобных слу
чаях встает вопрос: кому принадлежит или кем используется тот или иной
адрес электронной почты.
Почтовый ящик
В большинстве случаев адрес электронной почты однозначно связан с
почтовым ящиком. И все письма, адресованные на этот адрес, попадают
в этот ящик, откуда потом пользователь может их забрать.
Однако есть исключения:
●
групповые или коллективные адреса, которые представляют собой ад
рес списка рассылки*; все поступающие на этот адрес письма рассы
лаются определенной группе адресатов; таковыми часто бывают роле
вые адреса, например,
info@company.ru
или
noc@provider.net
;
●
технические адреса, за которыми не стоит ни пользователь, ни почто
вый ящик; все поступающие на такой адрес письма обрабатываются
программой; например, иногда в качестве обратного адреса указыва
ется нечто вроде
noreply@domain.com
– все, что поступает на такой
адрес, отправляется почтовым сервером на устройство
/dev/null
;
●
адреса для пересылки (forward) сообщений; все поступающие на такой
адрес сообщения не складываются в почтовый ящик, а перенаправля
ются на другой, заранее заданный адрес.
Передача сообщений
В сообщении электронной почты адрес может быть указан в следую
щих полях. Адрес получателя – в полях
«To»
,
«Cc»
и
«Bcc»
. Адрес отпра
вителя – в полях
«From»
,
«Replyto»
и
«Returnpath»
. Парадокс в том,
что все эти поля могут не содержать истинного адреса. Все шесть адресов
могут быть подложными, но, несмотря на это, сообщение дойдет по наз
начению. Чтобы пояснить, как такое может быть, рассмотрим процесс
передачи сообщения электронной почты по протоколу SMTP.
Ниже приводится образец трафика (снят командой
«tcpdump i rl0
s 1024 n xX 'tcp and port 25'»
), в котором зафиксирован про
цесс передачи одного сообщения.
21:27:09.265031 IP 190.49.202.78.33594 > 80.94.84.25.25: S
3705705427:3705705427(0) win 64240 <mss 1452,nop,nop,sackOK>
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
180
Н.Н. Федотов
Форензика – компьютерная криминалистика
0x0030: ffff 1c33 0000 3335 3420 456e 7465 7220 ...3..354.Enter.
0x0040: 6d61 696c 2c20 656e 6420 7769 7468 2022 mail,.end.with."
0x0050: 2e22 206f 6e20 6120 6c69 6e65 2062 7920 .».on.a.line.by.
0x0060: 6974 7365 6c66 0d0a itself..
13
21:27:11.745391 IP 190.49.202.78.33594 > 80.94.84.25.25: . 99:1551(1452) ack
436 win 64905
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
0x0010: 05d4 5107 4000 6906 8e25 be31 ca4e 505e ..Q.@.i..%.1.NP^
0x0020: 5419 833a 0019 dce0 9436 1a3d 03d2 5010 T..:.....6.=..P.
0x0030: fd89 7b52 0000 4d65 7373 6167 652d 4944 ..{R..MessageID
0x0040: 3a20 3c30 3030 3030 3163 3733 3831 6124 :.<000001c7381a$
0x0050: 3661 3739 3762 3830 2434 6563 6133 3162 6a797b80$4eca31b
0x0060: 6540 4752 4146 4943 4f53 3e0a 4672 6f6d e@GRAFICOS>.From
0x0070: 3a20 224a 6f68 6e22 203c 6164 616d 4073 :."John».<adam@s
0x0080: 6263 676c 6f62 616c 2e6e 6574 3e0a 546f bcglobal.net>.To
0x0090: 3a20 3c61 6275 7365 4066 6e6e 2e72 753e :.<abuse@fnn.ru>
0x00a0: 0a53 7562 6a65 6374 3a20 4265 7374 2055 .Subject:.Best.U
0x00b0: 5320 6472 7567 732e 0a44 6174 653a 2053 S.drugs..Date:.S
0x00c0: 756e 2c20 3134 204a 616e 2032 3030 3720 un,.14.Jan.2007.
0x00d0: 3137 3a32 373a 3331 202b 3031 3030 0a4d 17:27:31.+0100.M
0x00e0: 494d 452d 5665 7273 696f 6e3a 2031 2e30 IMEVersion:.1.0
0x00f0: 0a43 6f6e 7465 6e74 2d54 7970 653a 206d .ContentType:.m
0x0100: 756c 7469 7061 7274 2f72 656c 6174 6564 ultipart/related
0x0110: 3b0a 0974 7970 653d 226d 756c 7469 7061 ;..type="multipa
0x0120: 7274 2f61 6c74 6572 6e61 7469 7665 223b rt/alternative";
0x0130: 0a09 626f 756e 6461 7279 3d22 2d2d 2d2d ..boundary="
0x0140: 2d2d 2d2d 2d2d 2d2d 6d73 3030 3033 3030 ms000300
0x0150: 3037 3034 3039 3030 3035 3036 3039 3034 0704090005060904
0x0160: 3039 220a 582d 5072 696f 7269 7479 3a20 09».XPriority:.
0x0170: 330a 582d 4d53 4d61 696c 2d50 7269 6f72 3.XMSMailPrior
0x0180: 6974 793a 204e 6f72 6d61 6c0a 582d 4d61 ity:.Normal.XMa
0x0190: 696c 6572 3a20 4d69 6372 6f73 6f66 7420 iler:.Microsoft.
0x01a0: 4f75 746c 6f6f 6b20 4578 7072 6573 7320 Outlook.Express.
0x01b0: 362e 3030 2e32 3930 302e 3238 3639 0a58 6.00.2900.2869.X
0x01c0: 2d4d 696d 654f 4c45 3a20 5072 6f64 7563 MimeOLE:.Produc
0x01d0: 6564 2042 7920 4d69 6372 6f73 6f66 7420 ed.By.Microsoft.
0x01e0: 4d69 6d65 4f4c 4520 5636 2e30 302e 3239 MimeOLE.V6.00.29
0x01f0: 3030 2e32 3936 320a 0a54 6869 7320 6973 00.2962..This.is
0x0200: 2061 206d 756c 7469 2d70 6172 7420 6d65 .a.multipart.me
0x0210: 7373 6167 6520 696e 204d 494d 4520 666f ssage.in.MIME.fo
0x0220: 726d 6174 2e0a 0a2d 2d2d 2d2d 2d2d 2d2d rmat...
0x0230: 2d2d 2d2d 2d6d 7330 3030 3330 3030 3730 ms000300070
0x0240: 3430 3930 3030 3530 3630 3930 3430 390a 409000506090409.
0x0250: 436f 6e74 656e 742d 5479 7065 3a20 6d75 ContentType:.mu
0x0260: 6c74 6970 6172 742f 616c 7465 726e 6174 ltipart/alternat
0x0270: 6976 653b 0a09 626f 756e 6461 7279 3d22 ive;..boundary="
0x0280: 2d2d 2d2d 2d2d 2d2d 2d2d 2d2d 6d73 3034 ms04
0x0290: 3035 3036 3031 3030 3035 3032 3037 3030 0506010005020700
0x02a0: 3035 3036 3031 220a 0a0a 2d2d 2d2d 2d2d 050601»...
0x02b0: 2d2d 2d2d 2d2d 2d2d 6d73 3034 3035 3036 ms040506
0x02c0: 3031 3030 3035 3032 3037 3030 3035 3036 0100050207000506
0x02d0: 3031 0a43 6f6e 7465 6e74 2d54 7970 653a 01.ContentType:
183
Оперативнорозыскные мероприятия
0x00d0: 494d 450d 0a32 3530 2d53 495a 450d 0a32 IME..250SIZE..2
0x00e0: 3530 2d44 534e 0d0a 3235 302d 4554 524e 50DSN..250ETRN
0x00f0: 0d0a 3235 302d 4445 4c49 5645 5242 590d ..250DELIVERBY.
0x0100: 0a32 3530 2048 454c 500d 0a .250.HELP..
7
21:27:10.754272 IP 190.49.202.78.33594 > 80.94.84.25.25: P 35:68(33) ack 299
win 65042
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
0x0010: 0049 50f0 4000 6906 93c7 be31 ca4e 505e .IP.@.i....1.NP^
0x0020: 5419 833a 0019 dce0 93f6 1a3d 0349 5018 T..:.......=.IP.
0x0030: fe12 8283 0000 4d41 494c 2046 524f 4d3a ......MAIL.FROM:
0x0040: 203c 6164 616d 4073 6263 676c 6f62 616c .<adam@sbcglobal
0x0050: 2e6e 6574 3e0d 0a .net>..
8
21:27:10.764846 IP 80.94.84.25.25 > 190.49.202.78.33594: P 299:344(45) ack
68 win 65535
0x0000: 0013 7f8d f11a 0050 22ee 207d 0800 4500 .......P»..}..E.
0x0010: 0055 dad6 4000 4006 32d5 505e 5419 be31 .U..@.@.2.P^T..1
0x0020: ca4e 0019 833a 1a3d 0349 dce0 9417 5018 .N...:.=.I....P.
0x0030: ffff 5f8d 0000 3235 3020 322e 312e 3020 .._...250.2.1.0.
0x0040: 3c61 6461 6d40 7362 6367 6c6f 6261 6c2e <adam@sbcglobal.
0x0050: 6e65 743e 2e2e 2e20 5365 6e64 6572 206f net>....Sender.o
0x0060: 6b0d 0a k..
9
21:27:11.052039 IP 190.49.202.78.33594 > 80.94.84.25.25: P 68:93(25) ack 344
win 64997
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
0x0010: 0041 50f7 4000 6906 93c8 be31 ca4e 505e .AP.@.i....1.NP^
0x0020: 5419 833a 0019 dce0 9417 1a3d 0376 5018 T..:.......=.vP.
0x0030: fde5 753f 0000 5243 5054 2054 4f3a 203c ..u?..RCPT.TO:.<
0x0040: 6162 7573 6540 666e 6e2e 7275 3e0d 0a abuse@fnn.ru>..
10
21:27:11.062441 IP 80.94.84.25.25 > 190.49.202.78.33594: P 344:386(42) ack
93 win 65535
0x0000: 0013 7f8d f11a 0050 22ee 207d 0800 4500 .......P»..}..E.
0x0010: 0052 dae1 4000 4006 32cd 505e 5419 be31 .R..@.@.2.P^T..1
0x0020: ca4e 0019 833a 1a3d 0376 dce0 9430 5018 .N...:.=.v...0P.
0x0030: ffff 3875 0000 3235 3020 322e 312e 3520 ..8u..250.2.1.5.
0x0040: 3c61 6275 7365 4066 6e6e 2e72 753e 2e2e <abuse@fnn.ru>..
0x0050: 2e20 5265 6369 7069 656e 7420 6f6b 0d0a ..Recipient.ok..
11
21:27:11.408007 IP 190.49.202.78.33594 > 80.94.84.25.25: P 93:99(6) ack 386
win 64955
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
0x0010: 002e 50fe 4000 6906 93d4 be31 ca4e 505e ..P.@.i....1.NP^
0x0020: 5419 833a 0019 dce0 9430 1a3d 03a0 5018 T..:.....0.=..P.
0x0030: fdbb cd44 0000 4441 5441 0d0a ...D..DATA..
12
21:27:11.408641 IP 80.94.84.25.25 > 190.49.202.78.33594: P 386:436(50) ack
99 win 65535
0x0000: 0013 7f8d f11a 0050 22ee 207d 0800 4500 .......P»..}..E.
0x0010: 005a dae8 4000 4006 32be 505e 5419 be31 .Z..@.@.2.P^T..1
0x0020: ca4e 0019 833a 1a3d 03a0 dce0 9436 5018 .N...:.=.....6P.
182
Н.Н. Федотов
Форензика – компьютерная криминалистика
0x0060: 666f 7220 6465 6c69 7665 7279 0d0a for.delivery..
18
21:27:12.327003 IP 190.49.202.78.33594 > 80.94.84.25.25: P 1640:1646(6) ack
492 win 64849
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
0x0010: 002e 511d 4000 6906 93b5 be31 ca4e 505e ..Q.@.i....1.NP^
0x0020: 5419 833a 0019 dce0 9a3b 1a3d 040a 5018 T..:.....;.=..P.
0x0030: fd51 84d2 0000 7175 6974 0d0a .Q....quit..
19
21:27:12.327578 IP 80.94.84.25.25 > 190.49.202.78.33594: P 492:534(42) ack
1646 win 65535
0x0000: 0013 7f8d f11a 0050 22ee 207d 0800 4500 .......P»..}..E.
0x0010: 0052 db09 4000 4006 32a5 505e 5419 be31 .R..@.@.2.P^T..1
0x0020: ca4e 0019 833a 1a3d 040a dce0 9a41 5018 .N...:.=.....AP.
0x0030: ffff 9e49 0000 3232 3120 322e 302e 3020 ...I..221.2.0.0.
0x0040: 6169 6873 2e66 6e6e 2e72 7520 636c 6f73 aihs.fnn.ru.clos
0x0050: 696e 6720 636f 6e6e 6563 7469 6f6e 0d0a ing.connection..
21:27:12.328061 IP 80.94.84.25.25 > 190.49.202.78.33594: F 534:534(0) ack
1646 win 65535
0x0000: 0013 7f8d f11a 0050 22ee 207d 0800 4500 .......P»..}..E.
0x0010: 0028 db0a 4000 4006 32ce 505e 5419 be31 .(..@.@.2.P^T..1
0x0020: ca4e 0019 833a 1a3d 0434 dce0 9a41 5011 .N...:.=.4...AP.
0x0030: ffff 69f5 0000 0000 0000 0000 ..i.........
21:27:12.613806 IP 190.49.202.78.33594 > 80.94.84.25.25: F 1646:1646(0) ack
534 win 64807
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
0x0010: 0028 5126 4000 6906 93b2 be31 ca4e 505e .(Q&@.i....1.NP^
0x0020: 5419 833a 0019 dce0 9a41 1a3d 0434 5011 T..:.....A.=.4P.
0x0030: fd27 6ccd 0000 0000 0000 0000 .'l.........
21:27:12.613974 IP 80.94.84.25.25 > 190.49.202.78.33594: F 534:534(0) ack
1647 win 65535
0x0000: 0013 7f8d f11a 0050 22ee 207d 0800 4500 .......P»..}..E.
0x0010: 0028 db0e 4000 4006 32ca 505e 5419 be31 .(..@.@.2.P^T..1
0x0020: ca4e 0019 833a 1a3d 0434 dce0 9a42 5011 .N...:.=.4...BP.
0x0030: ffff 69f4 0000 0000 0000 0000 ..i.........
21:27:12.617338 IP 190.49.202.78.33594 > 80.94.84.25.25: . ack 535 win 64807
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
0x0010: 0028 5127 4000 6906 93b1 be31 ca4e 505e .(Q'@.i....1.NP^
0x0020: 5419 833a 0019 dce0 9a42 1a3d 0435 5010 T..:.....B.=.5P.
0x0030: fd27 6ccc 0000 0000 0000 0000 .'l.........
После установления соединения (первые три пакета) принимающий
сервер дает код 220 и некоторые данные о себе (4й пакет). Передающий
сервер дает команду
«EHLO»
и свой идентификатор (5й пакет). Принимаю
щий сервер дает код 250 и некоторые свои параметры (6й пакет). Передаю
щий сервер дает команду
«MAIL FROM»
(7й пакет), затем команду
«RCPT
TO»
(9й пакет). Принимающий подтверждает допустимость этих команд
185
Оперативнорозыскные мероприятия
0x02e0: 2074 6578 742f 6874 6d6c 3b0a 0963 6861 .text/html;..cha
0x02f0: 7273 6574 3d22 6973 6f2d 3838 3539 2d31 rset="iso88591
0x0300: 220a 436f 6e74 656e 742d 5472 616e 7366 «.ContentTransf
0x0310: 6572 2d45 6e63 6f64 696e 673a 2071 756f erEncoding:.quo
0x0320: 7465 642d 7072 696e 7461 626c 650a 0a3c tedprintable..<
0x0330: 2144 4f43 5459 5045 2048 544d 4c20 5055 !DOCTYPE.HTML.PU
0x0340: 424c 4943 2022 2d2f 2f57 3343 2f2f 4454 BLIC."//W3C//DT
0x0350: 4420 4854 4d4c 2034 2e30 2054 7261 6e73 D.HTML.4.0.Trans
0x0360: 6974 696f 6e61 6c2f 2f45 4e22 3e0a 3c48 itional//EN">.<H
0x0370: 544d 4c3e 3c48 4541 443e 0a3c 4d45 5441 TML><HEAD>.<META
0x0380: 2068 7474 702d 6571 7569 763d 3344 436f .httpequiv=3DCo
0x0390: 6e74 656e 742d 5479 7065 2063 6f6e 7465 ntentType.conte
0x03a0: 6e74 3d33 4422 7465 7874 2f68 746d 6c3b nt=3D"text/html;
0x03b0: 2063 6861 7273 6574 3d33 4469 736f 2d38 .charset=3Diso8
0x03c0: 3835 392d 3122 3e0a 3c4d 4554 4120 636f 8591">.<META.co
0x03d0: 6e74 656e 743d 3344 224d 5348 544d 4c20 ntent=3D"MSHTML.
0x03e0: 362e 3030 2e32 3930 302e 3239 3935 2220 6.00.2900.2995».
0x03f0: 6e61 6d65 3d33 4447 454e 4552 4154 4f52 name=3DGENERATOR
14
21:27:11.750983 IP 190.49.202.78.33594 > 80.94.84.25.25: P 1551:1635(84) ack
436 win 64905
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
0x0010: 007c 5108 4000 6906 937c be31 ca4e 505e .|Q.@.i..|.1.NP^
0x0020: 5419 833a 0019 dce0 99e2 1a3d 03d2 5018 T..:.......=..P.
0x0030: fd89 b6e2 0000 3034 3033 3036 3035 3034 ......0403060504
0x0040: 3035 3030 3037 3032 3031 3032 3031 404a 05000702010201@J
0x0050: 6f68 6e3e 0a0a 0a0a 2d2d 2d2d 2d2d 2d2d ohn>....
0x0060: 2d2d 2d2d 2d2d 6d73 3030 3033 3030 3037 ms00030007
0x0070: 3034 3039 3030 3035 3036 3039 3034 3039 0409000506090409
0x0080: 2d2d 0a0a 0a0a 0a0a 0a0a ........
15
21:27:11.751073 IP 80.94.84.25.25 > 190.49.202.78.33594: . ack 1635 win
65535
0x0000: 0013 7f8d f11a 0050 22ee 207d 0800 4500 .......P»..}..E.
0x0010: 0028 daeb 4000 4006 32ed 505e 5419 be31 .(..@.@.2.P^T..1
0x0020: ca4e 0019 833a 1a3d 03d2 dce0 9a36 5010 .N...:.=.....6P.
0x0030: ffff 6a63 0000 0000 0000 0000 ..jc........
16
21:27:12.035765 IP 190.49.202.78.33594 > 80.94.84.25.25: P 1635:1640(5) ack
436 win 64905
0x0000: 0050 22ee 207d 0013 7f8d f11a 0800 4500 .P»..}........E.
0x0010: 002d 5115 4000 6906 93be be31 ca4e 505e .Q.@.i....1.NP^
0x0020: 5419 833a 0019 dce0 9a36 1a3d 03d2 5018 T..:.....6.=..P.
0x0030: fd89 27b5 0000 0d0a 2e0d 0a00 ..'.........
17
21:27:12.042413 IP 80.94.84.25.25 > 190.49.202.78.33594: P 436:492(56) ack
1640 win 65535
0x0000: 0013 7f8d f11a 0050 22ee 207d 0800 4500 .......P»..}..E.
0x0010: 0060 daf4 4000 4006 32ac 505e 5419 be31 .`..@.@.2.P^T..1
0x0020: ca4e 0019 833a 1a3d 03d2 dce0 9a3b 5018 .N...:.=.....;P.
0x0030: ffff d11e 0000 3235 3020 322e 302e 3020 ......250.2.0.0.
0x0040: 6c30 454b 5241 4647 3033 3434 3438 204d l0EKRAFG034448.M
0x0050: 6573 7361 6765 2061 6363 6570 7465 6420 essage.accepted.
184
Н.Н. Федотов
Форензика – компьютерная криминалистика
Для установки места расположения почтового ящика исследователь
устанавливает первичный MX домена. Во многих случаях ящик находит
ся на этом же сервере. В других случаях сервер пересылает почту на иной
сервер, указанный в его настройках. В обоих случаях требуется узнать эти
настройки, чтобы определить местоположение почтового ящика. Для
этого потребуется содействие провайдера, обслуживающего сервер. Рас
положение почтового ящика документируется протоколом осмотра нуж
ного сервера (серверов) или заключением эксперта. В крайнем случае,
можно ограничиться получением письменного ответа провайдера на со
ответствующий запрос, но этот способ доказательства нельзя назвать бе
зупречным.
Доказательствами факта использования почтового ящика определен
ным лицом могут служить:
●
наличие на компьютере этого лица настроек для доступа к этому ящи
ку (включая пароль);
●
наличие на компьютере этого лица полученных сообщений электрон
ной почты со служебными заголовками, свидетельствующими о про
хождении сообщений через этот почтовый ящик;
●
наличие на сервере, где расположен ящик, логов об успешном соеди
нении и аутентификации пользователя данного почтового ящика;
●
наличие у других абонентов сообщений от этого лица, написанных в от
вет на сообщения, отправленные на этот почтовый ящик (в ответе час
то цитируется исходное сообщение, а также среди служебных заголов
ков присутствует заголовок со ссылками на предыдущие сообщения).
Примеры
Три примера на тему установления владельца адреса электронной
почты и доказывания этого факта.
В ходе расследования преступления было установлено, что обнару
женная на компьютере потерпевшего вредоносная программа пытается
отослать некоторые данные по электронной почте. Эксперт запустил эту
программу на своем компьютере, маршрутизировал весь исходящий тра
фик с него на другой компьютер, на котором запустил эмулятор внешне
го SMTPсервера. В результате эксперимента обнаружилось, что неизве
стная вредоносная программа отсылает по электронной почте письмо на
адрес user0001@pnzhost.ru. В этом письме содержалась конфиденциаль
ная информация с компьютера потерпевшего.
Соответствующая DNSзапись (запись типа MX) указывает, что сервер
входящей электронной почты для домена pnzhost.ru имеет IPадрес
133.245.254.110
. Этот IPадрес, согласно данным регистратора, исполь
зуется провайдером* «Заречный телеком» из города Пензы. Все эти дан
ные были установлены привлеченным специалистом в ходе ОРМ «иссле
187
Оперативнорозыскные мероприятия
кодом 250 (8й и 10й пакеты). Затем передающий сервер дает команду
«DATA»
(11й пакет), а принимающий подтверждает кодом 354 готовность
принимать текст письма (12й пакет). Передающий сервер отправляет текст
сообщения, включая все заголовки (пакеты 13, 14 и 16). Принимающий
подтверждает прием кодом 250 (17й пакет). Затем передающий дает коман
ду
«QUIT»
(18й пакет), на что получает код 221 (19й пакет). Остальные па
кеты завершают TCPсоединение. Так работает протокол SMTP.
Достоверность
Как видно, все заголовки сообщения (
«From»
,
«To»
и другие) переда
ются в тексте письма, они могут не анализироваться принимающей сто
роной. Куда именно следует доставить сообщение, принимающий сервер
узнает из команды
«RCPT TO»
, адрес в которой не обязан совпадать с ад
ресом в заголовке «To».
Наличие какоголибо адреса в поле
«From»
или
«Replyto»
означает
лишь то, что отправитель счел нужным вписать туда этот адрес. Каких
либо достоверных выводов об источнике или отправителе письма при
этом сделать невозможно. Источник и отправитель могут быть вычисле
ны из анализа заголовков
«Received»
и соответствующих логов серверов
электронной почты, как это описано в предыдущей главе.
Но если подтверждено, что адрес действующий, то есть некое лицо по
лучает отправленные на него письма, то можно браться за установление
владельца этого адреса.
Установление
Для начала следует установить почтовый ящик, с которым связан ад
рес. Затем выяснить, кто пользуется этим почтовым ящиком. Так будет
установлен владелец адреса.
186
Н.Н. Федотов
Форензика – компьютерная криминалистика
Передающий MTA
Принимающий MTA
220
HELO или EHLO
250
MAIL FROM: <адрес>
250
RCPT TO: <адрес>
250
DATA
354
текст сообщения
.
250
QUIT
221