電子取證中，為了防止檢材污染，工作時(shí)中進(jìn)行寫保護(hù)是非常必要的。司法部《關(guān)于印發(fā)<司法鑒定機(jī)構(gòu)儀器設(shè)備配置標(biāo)準(zhǔn)>的通知》（司發(fā)通[2011]323號(hào)）規(guī)定電子數(shù)據(jù)鑒定中只讀接口是必備設(shè)備，錄音資料鑒定中只讀接口是選配設(shè)備。
不過(guò)在緊急情況下，“軟只讀”可以發(fā)揮一定的作用。軟只讀指的是通過(guò)軟件的方式禁止向目標(biāo)設(shè)備寫入數(shù)據(jù)。從Windows XP SP2開(kāi)始，通過(guò)修改注冊(cè)表中的鍵值達(dá)到禁止向USB設(shè)備寫入數(shù)據(jù)的目的。具體起作用的為注冊(cè)表“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies”的“WriteProtect”的鍵值，鍵值為“0”則USB設(shè)備為讀寫狀態(tài)，鍵值為“1”則USB設(shè)備為只讀狀態(tài)。網(wǎng)上的一些USB寫保護(hù)小工具（例如USB WriteProtector），基本都是基于這一原理。
下圖是使用Process Monitor檢測(cè)USB寫保護(hù)工具USB WriteProtector設(shè)置寫保護(hù)這一過(guò)程的所有操作，由于篇幅所限，這里只截取了具體的操作詳情。
但同時(shí)，我發(fā)現(xiàn)這工具運(yùn)行的時(shí)候貌似有些“不老實(shí)”，過(guò)一段時(shí)間就多C盤中某個(gè)文件進(jìn)行操作。暫時(shí)不知其原因。
其實(shí)，我們完全可以自己設(shè)置。下面是具體方法。
設(shè)置只讀：在記事本中粘貼下列內(nèi)容，保存為“DisableUSBWrite.reg”（注意不要保存成了“DisableUSBWrite.txt”），其實(shí)文件名無(wú)所謂，但后綴一定要為“reg”。雙擊保存的文件，即可導(dǎo)入注冊(cè)表。
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies]
'WriteProtect'=dword:00000001
同理，取消只讀只需在記事本中粘貼下列內(nèi)容并保存成“EnableUSBWrite.reg”并雙擊導(dǎo)入即可。
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies]
'WriteProtect'=dword:00000000
上面兩段內(nèi)容保存后圖標(biāo)如下，如果不是，很可能格式保存錯(cuò)了
雙擊導(dǎo)入的時(shí)候會(huì)出現(xiàn)下圖所示的提示，直接點(diǎn)“是”就可以了。
當(dāng)試圖從其他位置復(fù)制文件到優(yōu)盤中時(shí)，會(huì)有寫保護(hù)提示。
就連對(duì)優(yōu)盤進(jìn)行重命名都會(huì)報(bào)錯(cuò)。
演示完了，說(shuō)幾點(diǎn)需要注意的地方。
1.注冊(cè)表設(shè)置后，僅對(duì)之后接入的設(shè)備有效，例如之前是只讀狀態(tài)，連接著一個(gè)優(yōu)盤，設(shè)置讀寫后，此優(yōu)盤依然只只讀的，重新拔插一次才能恢復(fù)對(duì)此設(shè)備的讀寫。
2.除了對(duì)優(yōu)盤、移動(dòng)硬盤等“移動(dòng)設(shè)備”有效，對(duì)SATA轉(zhuǎn)USB的硬盤依然有效。
3.一般情況下，設(shè)置USB只讀或USB讀寫后，重啟后之前的設(shè)定依然有效，但是偶爾遇到“不一般的情況”，之前的設(shè)定有可能有效可能無(wú)效。
下面來(lái)解釋一下上面的第三條。注冊(cè)表“HKEY_LOCAL_MACHINE\SYSTEM\”下面一般會(huì)有名為“CurrentControlSet”、“ControlSet001”、“ControlSet002”的子目錄，這些地方保存著一些系統(tǒng)配置信息。其中“CurrentControlSet”是當(dāng)前的配置信息，一般與“ControlSet001”內(nèi)容一致，“ControlSet002”是每次成功啟動(dòng)電腦后從“ControlSet001”中復(fù)制的備份，也就是Windows系統(tǒng)啟動(dòng)時(shí)按F8進(jìn)入安全模式看到的“最后一次正確配置”。一般情況下，開(kāi)機(jī)后“CurrentControlSet”都是從“ControlSet001”復(fù)制數(shù)據(jù)，由于某種原因，如果系統(tǒng)啟動(dòng)的時(shí)候不是從“CurrentControlSet”數(shù)據(jù)不是從“ControlSet001”復(fù)制的，就有可能造成上次設(shè)置失效。
注冊(cè)表“HKEY_LOCAL_MACHINE\SYSTEM\Select”中記錄了當(dāng)前（Current）、下次（Default）、最后一次正確（LastKnowGood）的配置。
我想不少人看了以上內(nèi)容一定驚喜不已——以后花幾十塊錢買個(gè)SATA轉(zhuǎn)USB的線材，就可以和只讀鎖說(shuō)拜拜了？淘寶上只讀鎖老貴老貴呢。
這種方法可不可行呢？我們接下來(lái)繼續(xù)看。
我在有個(gè)優(yōu)盤中新建了一個(gè)名為“TEST.txt”的文件，內(nèi)容為“www.cnforensics.com取證中國(guó)”。
將優(yōu)盤拔出，設(shè)置后USB只讀后，重新接入優(yōu)盤，打開(kāi)重新編輯后按Ctrl+S保存，報(bào)錯(cuò)。
使用WinHex打開(kāi)優(yōu)盤，編輯“TEST.txt”，將第一個(gè)字母“ｗ”改成“Ａ”并保存。
點(diǎn)擊“確定”
點(diǎn)擊“是”，居然沒(méi)有報(bào)錯(cuò)提示，趕緊從資源管理器中打開(kāi)優(yōu)盤看看——內(nèi)容已修改……
顯然，我們修改注冊(cè)表后的“只讀”并沒(méi)有阻止住WinHex對(duì)優(yōu)盤的寫入操作。對(duì)于一些使用較低層的方式對(duì)磁盤進(jìn)行的操作，軟只讀無(wú)法無(wú)能為力，所以，購(gòu)買物理只讀設(shè)備還是很有必要的。當(dāng)然，特殊情況下，軟只讀總比直接讀寫好。
聯(lián)系客服
