◆劉云恒

一般犯罪現(xiàn)場中的電子數(shù)據(jù)勘查規(guī)范探討

◆劉云恒

（南京森林警察學(xué)院信息學(xué)院 江蘇 210046）

本文對一般犯罪現(xiàn)場中的電子數(shù)據(jù)勘查規(guī)范探討，在當前法治思想指導(dǎo)下，規(guī)范執(zhí)法是公安機關(guān)執(zhí)法的重中之重，電子數(shù)據(jù)勘查是近年來新出現(xiàn)的勘查方向，沒有現(xiàn)成的勘查規(guī)范可以借鑒，本文探討了手機、計算機及其他電子物證在一般犯罪現(xiàn)場中如何勘查的實施方案與注意事項。

電子數(shù)據(jù)；犯罪現(xiàn)場勘查；規(guī)范

21世紀是數(shù)字經(jīng)濟的時代，隨著中國經(jīng)濟的高速發(fā)展，手機和計算機的使用量快速增長，尤其是智能手機的使用量呈指數(shù)級增加。截至2021年3月底，我國網(wǎng)民規(guī)模高達10億，互聯(lián)網(wǎng)的普及率超過71%。以社交軟件微信為例，它的活動用戶高達12億，其中使用智能手機上網(wǎng)的人在99%以上。計算機的網(wǎng)絡(luò)化和智能手機的使用給人們的生活帶來了極大方便，但同時也為犯罪分子留下可乘之機。在實際的刑事案件偵破中經(jīng)常涉及手機和計算機相關(guān)信息提取，基本上每個案件的犯罪嫌疑人都在使用智能手機，因此，提取的涉案智能手機及計算機等電子設(shè)備中的電子數(shù)據(jù)成為揭示犯罪分子罪行、偵破刑事案件的關(guān)鍵。如何在犯罪現(xiàn)場對智能手機和計算機等電子設(shè)備進行勘驗，既要符合法律規(guī)范又要符合電子數(shù)據(jù)提取規(guī)則，這些對于民警尤其是網(wǎng)安專業(yè)的民警來說都極為重要。

1 手機的勘查

根據(jù)手機的屏幕顯示情況，手機勘查主要分開機和關(guān)機兩種狀態(tài)的勘查，需分類處置。

1.1 手機關(guān)機狀態(tài)的勘查

犯罪現(xiàn)場如發(fā)現(xiàn)手機處于關(guān)機狀態(tài)，非必要不得開機。要防止因開機而導(dǎo)致手機內(nèi)電子數(shù)據(jù)發(fā)生改變，改變了物證的原始性污染物證，這將會導(dǎo)致此物證證據(jù)證明力下降甚至完全喪失。如案情確需開機，要盡量在信號屏蔽狀態(tài)下進行開機操作，可在信號屏蔽室中或者在開啟信號屏蔽儀的狀態(tài)下進行開機操作，同時，要在電子數(shù)據(jù)現(xiàn)場勘查筆錄中詳細記錄開機理由、所做的所有操作及可能造成的后果。通常情況下，勘查現(xiàn)場關(guān)機的手機可進行以下的處置。

1.1.1對手機進行唯一性編號

在手機背面貼唯一性編號標簽。對于有SIM卡的手機如果已獲取手機IMEI、MEID號碼，可以將這些號碼記錄在唯一性編號標簽下方，標簽所貼部位不要遮蓋手機品牌等特征信息。

1.1.2拍照和錄像

對現(xiàn)場進行拍照或錄像，記錄手機的原始位置、工作狀態(tài)以及此物證的品牌、唯一性特征、手機與其他物證例如充電器、計算機、U盤等連線信息。

1.1.3獲取手機相關(guān)信息

對手機持有人或相關(guān)知情人進行詢問，有SIM卡的手機號碼、手機啟動密碼、解屏密碼、加密設(shè)備、加密擴展存儲卡等的密碼，并對獲取的密碼進行詳細記錄。

1.1.4收集周邊物證

應(yīng)收集手機的數(shù)據(jù)線、手機充電器、擴展卡、說明書及包裝盒等物證，這些物證可能在后續(xù)案件調(diào)查和電子數(shù)據(jù)檢驗時起到重要作用。

1.1.5封存手機

可以使用手機屏蔽箱（袋）封存物證，封裝后要拍照記錄，清晰反映封口或者張貼封條處的狀態(tài)。注意封存手機不要用透明的刑事勘查袋，如果現(xiàn)場無專業(yè)的手機屏蔽箱（袋），可使用大信封等不透明袋子進行封存。

1.1.6勘查文書

按照規(guī)范如實填寫電子數(shù)據(jù)勘查筆錄，記錄手機品牌、型號、顏色、唯一性標識等，記錄勘查時所有操作及產(chǎn)生的結(jié)果。

1.2 手機開機狀態(tài)的勘查

如在犯罪現(xiàn)場發(fā)現(xiàn)手機處于開機狀態(tài)，非必要不得關(guān)機，以免關(guān)機后無法開機。如果手機正在進行數(shù)據(jù)擦除或還原時要根據(jù)情況立即進行斷網(wǎng)、關(guān)機等操作。如果進行關(guān)機操作，需在電子數(shù)據(jù)現(xiàn)場提取筆錄中詳細記錄關(guān)機理由、所做的所有操作及可能造成的后果。通常情況下，勘查現(xiàn)場開機的手機可進行以下處置。

1.2.1關(guān)閉各種通訊功能

首先將手機調(diào)為飛行模式，并且關(guān)閉熱點、定位、藍牙、紅外、射頻等對外通訊功能使其無法與外界進行信息交換。如果不關(guān)閉各種通訊功能，由于手機連接在網(wǎng)絡(luò)上手機內(nèi)的信息隨時都可能會發(fā)生改變甚至信息會被擦除，造成現(xiàn)有檢材的數(shù)據(jù)丟失，所以必須及時關(guān)閉手機通訊功能。如果因沒有密碼解屏導(dǎo)致無法關(guān)閉無線通訊功能，現(xiàn)場也沒有信號屏蔽設(shè)備，可以進行拔SIM卡操作切斷蜂窩網(wǎng)絡(luò)連接，然后把手機放入密封金屬盒內(nèi)以屏蔽熱點、定位、藍牙、紅外、射頻功能，后續(xù)操作與關(guān)機手機相同。

1.2.2對手機進行唯一性編號

在手機背面貼唯一性編號標簽。如能調(diào)出撥號鍵盤，可輸入*#06#獲取手機IMEI、MEID號碼，也可以以其他方式獲取。將獲取的手機IMEI、MEID號碼記錄在唯一性編號標簽下方，標簽所貼部位不要遮蓋手機品牌等特征信息。

1.2.3拍照和錄像

對勘查現(xiàn)場進行拍照或錄像，記錄手機的原始位置、工作狀態(tài)以及此物證的品牌、唯一性特征、手機與其他物證例如充電器、計算機、U盤等連線等信息。對手機屏幕內(nèi)容進行拍照或錄像，切換手機中正在運行的每一個APP進行拍照進行數(shù)據(jù)的收集和固定。

1.2.4時間校驗

用拍照或是錄像的方式，同框拍攝記錄手機時間和北京時間，記錄是否有時間差，如有則需記錄兩者之間的差值。

1.2.5詢問密碼

對手機持有人或相關(guān)知情人進行詢問，獲取手機啟動密碼、解除或獲取加密設(shè)備、加密擴展存儲卡等的密碼并記錄。獲取微信、支付寶等常用軟件的賬號和密碼并記錄。虛擬賬號和自然人的對應(yīng)關(guān)系，如有必要在現(xiàn)場勘查中讓嫌疑人指認自己使用的虛擬身份。如果手機處于解屏狀態(tài)，不要嘗試用詢問到的密碼進行手機解屏測試，避免錯誤的密碼導(dǎo)致手機無法再次進入解屏狀態(tài)，將手機調(diào)整為常亮狀態(tài)。如果手機處于鎖屏狀態(tài)，可以用詢問到密碼進行一次解屏測試，如果無法解屏則不要再嘗試，解屏多次無法解開后必須用密碼解屏不能再使用生物技術(shù)例如指紋、面容來解鎖，增強后面電子數(shù)據(jù)檢驗的難度。

1.2.6收集周邊物證

應(yīng)收集手機的數(shù)據(jù)線、手機充電器、擴展卡、說明書及包裝盒等物證。

1.2.7手機取證

根據(jù)需要可在開啟手機信號屏蔽設(shè)備情況下，依據(jù)公安部《公安機關(guān)辦理刑事案件電子數(shù)據(jù)取證規(guī)則》（2019），最高人民法院、最高人民檢察院、公安部《關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》（2016）要求，使用手機取證設(shè)備、手機取證分析軟件或屏幕拍照的方式提取、固定手機內(nèi)的信息，并計算出電子數(shù)據(jù)的完整性校檢值，記錄數(shù)據(jù)完整提取路徑和完整保存路徑。

1.2.8查看電量

應(yīng)檢測電量以保持手機開機，必要時可以對手機進行充電。手機在封存前要特別注意手機的電量，并隨時關(guān)注手機電量使用情況，避免扣留的手機在未解封前因沒電而關(guān)機?？梢栽诜獯鏁r給手機連接上充電寶，保證手機電量。

1.2.9封存物證

可以使用手機屏蔽箱（袋）封存物證，封裝后要拍照記錄，清晰反映封口或者張貼封條處的狀態(tài)。注意封存手機不要用透明的刑事勘查袋，如果現(xiàn)場無專業(yè)的手機屏蔽箱（袋），可使用大信封等不透明袋子進行封存。

1.2.10勘查文書

按照規(guī)范如實填寫電子數(shù)據(jù)勘查文書，記錄手機品牌、型號、顏色、唯一性標識等，記錄勘查時所有操作及結(jié)果，包括使用設(shè)備名稱、設(shè)備環(huán)境、取證分析軟件版本等。

2 計算機的勘查

根據(jù)電源指示燈，風(fēng)扇轉(zhuǎn)動的聲音等因素來判斷計算機的狀態(tài)，狀態(tài)不同勘查方法也有差異。計算機勘查主要分以下三種，根據(jù)不同狀態(tài)進行分類處置。

2.1 計算機關(guān)機狀態(tài)的勘查

如勘查現(xiàn)場計算機是關(guān)機狀態(tài)，非必要情況要保持關(guān)機狀態(tài)不要開機，開機后會改變系統(tǒng)的原始狀態(tài)，這將會導(dǎo)致此物證證據(jù)證明力下降甚至完全喪失。

2.1.1對計算機進行唯一性編號

如果計算機連接了較多的外部電子設(shè)備，必要時應(yīng)制作標簽，標簽應(yīng)能清晰反映這些外部電子設(shè)備與計算機的原始連接接口位置，連接的兩端都要進行編號貼標簽明顯的顯示出連接情況。

2.1.2拍照或者錄像

對計算機的原始狀態(tài)進行拍照或者錄像，要清晰地反映出計算機原始位置、工作狀態(tài)及各個接口連接狀態(tài)，可使用十字拍照法對計算機進行拍照。對于一些可反映計算機品牌、型號、編號的地方要拍攝細目。

2.1.3檢査計算機光盤驅(qū)動器

要檢查CD、DVD、藍光驅(qū)動器是否有未退出的光盤。因為計算機沒有通電，直接按光驅(qū)開倉鍵無法彈出，可用卡針插入光驅(qū)應(yīng)急孔讓光驅(qū)彈出來進行檢查。

2.1.4封存物證

移除計算機所有的電源線、適配器、數(shù)據(jù)線，臺式機不開機電腦，用封條封住電源接口和兩側(cè)擋板，如無擋板直接扣押硬盤用封裝袋封裝。扣押筆錄中要記錄硬盤的SN碼，這是硬盤唯一性編碼。否則，在封裝袋上簽字。封裝原則：保證在不解除封存狀態(tài)的情況下，無法使用或者啟動被封裝的原始存儲介質(zhì)，封裝后要拍照記錄，清晰反映封口或者張貼封條處的狀態(tài)。

筆記本計算機電池可拆卸的要把電池拆下單獨封存。如勘查現(xiàn)場計算機體積比較大，無法整機封存，可以拆除計算機內(nèi)的硬盤等存儲器進行封存，封存前要進行唯一性編號和哈希校檢。

2.1.5勘查文書

按照規(guī)范如實填寫電子數(shù)據(jù)勘查文書，記錄計算機品牌、型號、顏色、唯一性標識等，記錄勘查時所有操作及操作結(jié)果。

2.2 計算機開機狀態(tài)的勘查

開機計算機進行必要數(shù)據(jù)采集后可關(guān)機。開機計算機應(yīng)進行以下處置。

2.2.1緊急處置

計算機處于開機狀態(tài)，應(yīng)立即觀察并記錄顯示器上的信息和狀態(tài)，如果發(fā)現(xiàn)有侵害正在發(fā)生，比如系統(tǒng)正在自毀、數(shù)據(jù)正在刪除、信息正在交換，應(yīng)立即采取斷網(wǎng)、中斷程序等終止其操作的措施，必要時可以采取切斷電源的措施。

2.1.2對計算機進行唯一性編號

如果計算機連接了較多的外部電子設(shè)備，必要時應(yīng)制作標簽，標簽應(yīng)該能清晰反映這些外部電子設(shè)備與計算機的原始連接接口位置，連接的兩端都要進行編號貼標簽明顯的顯示出連接情況。

2.1.3拍照或者錄像

對計算機的原始狀態(tài)進行拍照或者錄像，要清晰反映出計算機原始位置、工作狀態(tài)及接口連接狀態(tài)，可使用十字拍照法對計算機進行拍照。對于一些可反映計算機品牌、型號、編號、對現(xiàn)場計算機屏幕顯示情況等信息的細節(jié)部位要拍攝細目，必要時啟用屏幕錄像。

2.2.4屏幕密碼

如果計算機設(shè)置了鎖定或者屏幕密碼保護，應(yīng)在第一時間向計算機持有人詢問密碼、記錄當前屏幕顯示的信息，并及時提取固定易丟失電子數(shù)據(jù)。

2.2.5易失數(shù)據(jù)的提取

勘驗人員根據(jù)現(xiàn)場情況，按照現(xiàn)場易丟失電子數(shù)據(jù)的提取固定程序提取固定易丟失電子數(shù)據(jù)，并對操作進行記錄。

（1）內(nèi)存鏡像制作。制作內(nèi)存鏡像到自行準備好的存儲器中，這項工作一定要在第一時間做，因為我們所做的其他操作都會改變內(nèi)存，所以我們要在內(nèi)存最原始狀態(tài)時進行固定。

（2）屏幕錄像。插入專用存儲器運行綠色版屏幕錄制軟件進行屏幕錄制。

（3）進行時間校驗。提取時間信息，將北京時間和計算機時間同框拍照，如果有時間差要計算差值并記錄。

（4）屏幕信息提取。以錄像加軟件截圖方式進行提取，如果計算機內(nèi)開啟了多個窗口，每個窗口都要進行拍照或錄像。

（5）內(nèi)存數(shù)據(jù)提取。主要包括打開且未保存的文檔、最近的聊天記錄、用戶名、密碼以及剪貼板信息等。

（6）系統(tǒng)信息提取。包括存儲介質(zhì)的狀態(tài)、正在運行的進程、操作系統(tǒng)信息、網(wǎng)絡(luò)鏈接信息、網(wǎng)絡(luò)服務(wù)端口、路由表信息和共享的網(wǎng)絡(luò)驅(qū)動的文件夾等。

（7）用戶信息提取。主要包括打開的聊天工具中的聊天記錄、打開的網(wǎng)頁、打開的郵件客戶端中的郵件、U盤訪問記錄、最近打開的文件、回收站文件、用戶日志文件等。

（8）有密碼保護的數(shù)據(jù)提取。主要包括EFS加密文件、即時通訊工具、遠程賬戶、本地設(shè)備以及第三方工具加密的磁盤、目錄、文件等等。

2.2.6關(guān)機

評估計算機狀況，通常情況下直接切斷計算機的電源，筆記本電腦可以直接將電池移除。如直接切斷電源會造成數(shù)據(jù)損壞，則需按正常關(guān)機程序進行關(guān)機。

2.2.7封存物證

與關(guān)機狀態(tài)計算機封存程序相同。

2.2.8勘查文書

按照規(guī)范如實填寫電子數(shù)據(jù)勘查文書，記錄計算機品牌、型號、顏色、唯一性標識等，記錄勘查時所有操作及結(jié)果。記錄現(xiàn)場易丟失證據(jù)的收集提取方法，如獲取Windows交換文件以及計算機硬盤中遺留的網(wǎng)頁瀏覽記錄等。

2.3 計算機睡眠狀態(tài)的勘查

睡眠狀態(tài)系統(tǒng)會將內(nèi)存中的數(shù)據(jù)全部轉(zhuǎn)存到硬盤上的休眠文件中，所以睡眠狀態(tài)的計算機如果不喚醒可以直接按關(guān)機模式來處置；如果喚醒了就是開機狀態(tài)，可以按照開機模式來處置。

3 其他電子物證的勘查

勘查人員在現(xiàn)場還應(yīng)注意收集提取其他電子設(shè)備及其中的電子數(shù)據(jù)。

3.1 無線路由器的勘查

勘查人員首先查看路由器輸入輸出接口，確定該物證在網(wǎng)絡(luò)拓撲中的位置，然后錄制提取過程，查看無線網(wǎng)絡(luò)名稱，詢問知情人設(shè)備管理密碼，進入設(shè)備管理界面后提取設(shè)備基本信息、提取設(shè)備無線配置參數(shù)、提取上網(wǎng)配置參數(shù)、提取網(wǎng)絡(luò)訪問日志、提取網(wǎng)絡(luò)連接詳細信息。數(shù)據(jù)提取完成后關(guān)閉無線設(shè)備電源，最后按照程序?qū)o線路由器進行封存，填寫現(xiàn)場勘查文書。

3.2 錄音、錄像設(shè)備的勘查

錄音錄像設(shè)備包括錄音設(shè)備、攝像設(shè)備、監(jiān)控設(shè)備、行車記錄儀等，這些物證如果在運行狀態(tài)應(yīng)該立即把物證關(guān)閉，避免后面產(chǎn)生的數(shù)據(jù)把前后的數(shù)據(jù)覆蓋，然后按照程序?qū)ξ镒C進行封存，填寫現(xiàn)場勘查文書。

3.3 存儲設(shè)備的勘查

存儲設(shè)備移動硬盤、數(shù)碼存儲卡、光盤等，首先進行哈希校檢，必要時制作物證鏡像，然后按照程序?qū)ξ镒C進行封存，填寫電子數(shù)據(jù)現(xiàn)場勘查文書。

4 注意事項

4.1 合法性

《公安機關(guān)辦理刑事案件電子數(shù)據(jù)取證規(guī)則》第六條規(guī)定，收集、提取電子數(shù)據(jù)，應(yīng)當由二名以上偵查人員進行。做電子數(shù)據(jù)的收集、提取、固定及封存要求兩名以上的偵查人員來進行，必要時，可以指派或者聘請專業(yè)技術(shù)人員在偵查人員主持下進行收集、提取電子數(shù)據(jù)。勘查現(xiàn)場要有一到兩名符合條件的見證人。

4.2 手機數(shù)據(jù)線

通常情況下，在犯罪現(xiàn)場勘查時會準備四種手機用數(shù)據(jù)線，Lightning數(shù)據(jù)線、Type C數(shù)據(jù)線、Micro USB 2.0數(shù)據(jù)線和OTG數(shù)據(jù)線。

（1）Lightning數(shù)據(jù)線是蘋果手機專用數(shù)據(jù)線，內(nèi)含有MFI芯片，一些非蘋果原裝Lightning數(shù)據(jù)線因為沒有獲得蘋果公司使用許可，只能充電，在讀取數(shù)據(jù)時數(shù)據(jù)可能會丟失，建議使用Lightning原裝數(shù)據(jù)線或者含有MFI芯片的數(shù)據(jù)線。

（2）Type c數(shù)據(jù)線是目前主流安卓手機使用的數(shù)據(jù)線。

（3）Micro USB 2.0數(shù)據(jù)線也叫安卓數(shù)據(jù)線，目前還有大量老人機及較早型號的安卓手機仍然在使用Micro USB 2.0數(shù)據(jù)線。

（4）OTG數(shù)據(jù)線主要是在手機屏碎的時候配合鼠標來控制手機，或者要保留手機屏生物信息取證時用來控制手機，以及配合移動存儲設(shè)備把手機中的數(shù)據(jù)導(dǎo)入到存儲器進行數(shù)據(jù)保存。

4.3 手機封存

手機封存時，一定要使用不透明的袋子或者箱子來封存，如果用透明塑料袋封存，可以隔著塑料袋對手機進行操作違背了“不解封無法使用”的原則。

4.4 電子數(shù)據(jù)收集、提取、固定

計算機中電子數(shù)據(jù)提取固定時，不允許在系統(tǒng)內(nèi)安裝新的程序，提取的電子數(shù)據(jù)不允許放在提取計算機的存儲器內(nèi)，必須放在自己準備好的干凈存儲器內(nèi)，現(xiàn)場計算完整性校驗值、計算哈希值、記錄數(shù)據(jù)提取的完全路徑。

4.5 哈希碰撞

在提取電子數(shù)據(jù)或者固定時會做哈希校驗，哈希校檢后會得出一個唯一的哈希值，如果兩個不同的電子數(shù)據(jù)或者存儲器等進行檢驗后出現(xiàn)了哈希值相同的情況我們稱之哈希碰撞，雖然這種情況發(fā)生的可能性很低但確實會出現(xiàn)。為了避免這種情況的發(fā)生，做哈希校驗時我們可以做兩種以上哈希校驗，兩種哈希值全部碰撞的概率可以忽略不計，并且對物證進行詳細描述例如大小、類型、取得方法，通過以上兩種措式來解決哈希碰撞問題。

5 結(jié)束語

本文對一般犯罪現(xiàn)場中的電子數(shù)據(jù)勘查規(guī)范進行了探討，提出了手機、計算機及其他電子物證在一般犯罪現(xiàn)場的勘查方法。犯罪現(xiàn)場千變?nèi)f化結(jié)合現(xiàn)場勘查的處置方法及案件特點、電子數(shù)據(jù)提取技術(shù)特點，規(guī)范科學(xué)地進行電子數(shù)據(jù)收集、提取、固定是當前公安機關(guān)規(guī)范執(zhí)法的迫切要求。

[1]秦玉海，康小彤，陳杰.法治化背景下電子數(shù)據(jù)勘驗審查規(guī)范性探討[J].科教導(dǎo)刊（中旬刊），2017（26）：157-159.

[2]孫曉冬.網(wǎng)絡(luò)犯罪偵查[M].清華大學(xué)出版社，2014.

[3]劉浩陽.電子數(shù)據(jù)取證[M].清華大學(xué)出版社，2015.

[4]秦志紅.網(wǎng)絡(luò)犯罪現(xiàn)場電子證據(jù)提取的技術(shù)要點分析[J]. 法制與社會，2016（9）.

2019年度國家級一流本科專業(yè)（網(wǎng)絡(luò)安全與執(zhí)法）建設(shè)項目；2020年南京森林警察學(xué)院教學(xué)改革研究與教學(xué)建設(shè)項目：基于自主學(xué)習(xí)模式的金課建設(shè)實踐研究——以《電子數(shù)據(jù)現(xiàn)場處置》課程為例（項目編號：YB20015）