淺談電子數(shù)據(jù)的遠(yuǎn)程勘查與取證

李培鋒 吳俊霖

摘要：本文根據(jù)真實(shí)案例的實(shí)踐應(yīng)用，就互聯(lián)網(wǎng)電子數(shù)據(jù)的遠(yuǎn)程勘查與取證展開(kāi)闡述。

關(guān)鍵詞：電子數(shù)據(jù);遠(yuǎn)程勘查;取證

引言：在新時(shí)代的現(xiàn)今社會(huì)，互聯(lián)網(wǎng)已成為人們學(xué)習(xí)、工作和生活中不可或缺的一部分，但在互聯(lián)網(wǎng)給人們帶來(lái)便利的同時(shí)，也給某些犯罪分子當(dāng)成牟利的工具和載體，其犯罪手法新型且隱蔽，給公安機(jī)關(guān)打擊和取證帶來(lái)了新的挑戰(zhàn)。

案例：2020年9月28日，民眾公安分局民警在偵查中發(fā)現(xiàn)位于中山市三鄉(xiāng)鎮(zhèn)XX花園XX棟XX房有人正在通過(guò)網(wǎng)絡(luò)傳播淫穢物品并牟利，隨后我民警到場(chǎng)后抓獲一名犯罪嫌疑人鐘XX（女，31歲）。經(jīng)訊問(wèn)，鐘XX供述了其有通過(guò)微信向他人以群發(fā)色情視頻鏈接的方式去販賣(mài)淫穢物品牟利的犯罪行為。

背景：鐘XX販賣(mài)、傳播淫穢物品牟利案作案過(guò)程全程在網(wǎng)絡(luò)上實(shí)施，其在微信上所轉(zhuǎn)發(fā)的網(wǎng)絡(luò)鏈接均是網(wǎng)絡(luò)上公開(kāi)發(fā)布的、遠(yuǎn)程計(jì)算機(jī)信息系統(tǒng)上的電子數(shù)據(jù)，用戶通過(guò)微信接收該網(wǎng)絡(luò)鏈接后可以直接在線播放或下載。但單憑微信聊天記錄截屏的網(wǎng)絡(luò)鏈接無(wú)法確認(rèn)是否屬于淫穢物品，且該網(wǎng)絡(luò)鏈接的電子數(shù)據(jù)不在本地（即不在犯罪嫌疑人的手機(jī)和電腦上），無(wú)法扣押和封存，因此可以通過(guò)遠(yuǎn)程勘查與取證，采取網(wǎng)絡(luò)在線提取的方式去固定涉案的電子數(shù)據(jù)等物證。

取證工具：1、硬件：互聯(lián)網(wǎng)電腦、錄像機(jī);2、軟件：錄屏軟件、哈希計(jì)算軟件

操作方法：

一、電腦端準(zhǔn)備：

（一）全程錄屏，重要步驟截屏，打開(kāi)殺毒軟件全盤(pán)殺毒：

（二）清理DNS緩存記錄：ipconfig -flushdns

（三）檢查hosts記錄 C：＼Windows＼System32＼drivers＼etc

（四）tracert路由檢查

（五）瀏覽器緩存清除

（六）瀏覽器訪問(wèn)國(guó)家授時(shí)中心http：//www.time.ac.cn/stime.asp，

二、手機(jī)端準(zhǔn)備：

（一）手機(jī)外觀正反面拍照，固定手機(jī)品牌、顏色等

（二）手機(jī)設(shè)備、系統(tǒng)信息拍照，固定手機(jī)型號(hào)、系統(tǒng)版本、IMEI號(hào)等

（三）手機(jī)端微信賬號(hào)信息拍照，固定涉案手機(jī)端微信賬號(hào)信息

（四）電腦端微信賬號(hào)信息拍照，固定涉案電腦端微信賬號(hào)信息

（五）微信群群成員信息拍照，固定涉案微信群群成員人數(shù)信息

三、取證對(duì)象及目的

嫌疑人鐘XX手機(jī)的微信在“XXXX群”里2020年X月X日至XX月XX日的發(fā)送記錄，對(duì)發(fā)送的內(nèi)容進(jìn)行核查是否涉嫌傳播淫穢物品罪。

四、取證過(guò)程及方法

使用錄像機(jī)對(duì)相關(guān)操作進(jìn)行錄像，由偵查員在遠(yuǎn)勘專(zhuān)用計(jì)算機(jī)上啟動(dòng)錄屏軟件后分別進(jìn)行殺毒、清除DNS緩存記錄、檢查hosts記錄、檢查tracert路由、清除瀏覽器緩存、對(duì)照網(wǎng)絡(luò)時(shí)間等步驟，首先對(duì)嫌疑人鐘XX的手機(jī)進(jìn)行檢驗(yàn)，記錄手機(jī)顏色、品牌、型號(hào)及IMEI碼，然后在手機(jī)端打開(kāi)微信（微信號(hào)： XXX），通過(guò)手機(jī)登錄電腦端的微信（微信號(hào)：XXX），瀏覽微信“XXXX群”相關(guān)信息，可見(jiàn)群成員有XX人，啟動(dòng)手機(jī)錄屏，將手機(jī)微信2020年X月X日至XX月XX日在“XXXX群”的發(fā)送記錄通過(guò)“文件傳輸助手”發(fā)送到電腦端微信，在電腦端對(duì)聊天記錄中的網(wǎng)址鏈接使用谷歌瀏覽器進(jìn)行登錄瀏覽，經(jīng)核查后發(fā)現(xiàn)可通過(guò)網(wǎng)絡(luò)進(jìn)行視頻播放的鏈接逐一記錄，并且，鏈接播放期間分別截取每段視頻約30秒的播放過(guò)程，以上步驟分別生成手機(jī)錄屏文件、電腦錄屏文件和錄像機(jī)錄像文件，計(jì)算其哈希值（即完整性校驗(yàn)值），制作《網(wǎng)絡(luò)在線提取筆錄》，并制作《電子數(shù)據(jù)提取固定清單》，清單內(nèi)容儲(chǔ)存到光盤(pán)內(nèi)。

五、注意事項(xiàng)

（一）由于網(wǎng)絡(luò)鏈接類(lèi)的電子數(shù)據(jù)是存儲(chǔ)在網(wǎng)絡(luò)空間上，不能確定存儲(chǔ)介質(zhì)的具體位置，不能扣押原始存儲(chǔ)介質(zhì)，所以采用遠(yuǎn)程勘查在線取證所得的電子數(shù)據(jù)應(yīng)當(dāng)通過(guò)計(jì)算完整性校驗(yàn)值的方法來(lái)保證其原始性。

（二）遠(yuǎn)程勘查取證時(shí)，對(duì)可能無(wú)法重復(fù)提取或可能會(huì)出現(xiàn)變化的電子數(shù)據(jù)，應(yīng)當(dāng)采用錄像、錄屏或拍照等方式記錄以下信息：遠(yuǎn)程計(jì)算機(jī)系統(tǒng)的訪問(wèn)方式;提取的日期和時(shí)間;提取使用的工具和方法;電子數(shù)據(jù)的網(wǎng)絡(luò)地址、存儲(chǔ)路徑或者數(shù)據(jù)提取時(shí)的進(jìn)入步驟等;計(jì)算完整性校驗(yàn)值的過(guò)程和結(jié)果。

（三）遠(yuǎn)程勘查取證提取的電子數(shù)據(jù)應(yīng)當(dāng)在有關(guān)筆錄（如《網(wǎng)絡(luò)在線提取筆錄》）中注明電子數(shù)據(jù)的來(lái)源、事由和目的、對(duì)象，提取電子數(shù)據(jù)的時(shí)間、地點(diǎn)、方法、過(guò)程及結(jié)果，不能扣押原始存儲(chǔ)介質(zhì)的原因，并附《電子數(shù)據(jù)提取固定清單》，注明類(lèi)別、文件格式、完整性校驗(yàn)值等，由偵查人員簽名或者蓋章。

（四）遠(yuǎn)程勘驗(yàn)取證應(yīng)當(dāng)由符合條件的人員作為見(jiàn)證人，見(jiàn)證遠(yuǎn)程勘驗(yàn)、取證的全過(guò)程并簽名確認(rèn)。由于客觀原因無(wú)法由符合條件的人員擔(dān)任見(jiàn)證人的，應(yīng)當(dāng)在《網(wǎng)絡(luò)在線提取筆錄》中注明情況，并按照《公安機(jī)關(guān)辦理刑事案件數(shù)據(jù)取證規(guī)則》第二十五條的規(guī)定錄像，錄像可以采用屏幕錄像或者錄像機(jī)錄像等方式，錄像文件應(yīng)當(dāng)計(jì)算完整性校驗(yàn)值并記入筆錄。

（五）遠(yuǎn)程勘驗(yàn)取證結(jié)束后，應(yīng)當(dāng)及時(shí)制作《網(wǎng)絡(luò)在線提取筆錄》，詳細(xì)記錄遠(yuǎn)程勘驗(yàn)有關(guān)情況以及勘驗(yàn)照片、截獲的屏幕截圖等內(nèi)容。由偵查人員和見(jiàn)證人簽名或者蓋章。

（六）《網(wǎng)絡(luò)在線提取筆錄》應(yīng)當(dāng)客觀、全面、詳細(xì)、準(zhǔn)確、規(guī)范，能夠作為還原遠(yuǎn)程計(jì)算機(jī)信息系統(tǒng)原始情況的依據(jù)，符合法定的證據(jù)要求。對(duì)計(jì)算機(jī)信息系統(tǒng)進(jìn)行多次遠(yuǎn)程勘驗(yàn)的，在制作首次《網(wǎng)絡(luò)在線提取筆錄》后，逐次制作補(bǔ)充《網(wǎng)絡(luò)在線提取筆錄》。

參考文獻(xiàn)：

[1] 劉忠義，電子物證實(shí)戰(zhàn)手冊(cè)/公安部刑事偵查局編[M]，北京：中國(guó)人民公安大學(xué)出版社，2019：43-50

中山市公安局民眾分局刑事偵查大隊(duì) 廣東 中山 528400