数据库取证
众所周知，数据库是信息系统中不可或缺的一部分。随着大数据时代的到来，数据库成为犯罪分子的目标，大量的数据库被用来存储网络盗窃和网络诈骗中产生的数据。从数据库中提取数据已经成为打击犯罪的重要手段之一。
MySQL数据库
MySQL是一个开源的关系数据库管理系统。从目前数据库的市场份额来看，Oracle、MySQL、SQL Server遥遥领先，呈现三足鼎立的态势。随着互联网行业的快速发展，MySQL以其开源、免费使用等优势成为互联网公司最受欢迎的数据库。在很多刑事案件中，我们经常会看到MySQL数据库。
今天，边肖将与大家分享一种从MySQL数据库中提取数据的方法。
案例背景
在这种情况下，有必要获得本地服务器中已被扣押的MySQL数据清单的证据。办案人员迫切需要获取镜像中MySQL数据库的数据记录，却找不到MySQL数据库的登录密码。
要求：获取镜像中MySQL数据库的记录。
难题：如何用访问密码获取MySQL数据库的证据？
检验资料：服务器镜像文件一份。
个案分析
无法获取数据库数据，因为没有数据库登录密码。为了保证数据库数据的完整性，通过SQL语句方便快捷地查询用户需要的数据，需要模拟与嫌疑人相同的数据库环境。针对以上情况，我们可以通过附加mysql数据库和修改密码来获取数据库数据。具体操作思路和步骤如下：
提取案例服务器中的数据库文件；
将提取的数据库文件附加到新计算机上；
附件完成后重置MySQL的密码；
登录MySQL查看导出的数据库记录。
从上面的案例中，我们知道已经获得了与该案例相关的服务器镜像，因此我们只需要附加mysql数据库并重置登录密码即可提取数据库数据。下面将详细描述这两个步骤的具体操作方法。
具体操作步骤
附加MySQL数据库
1)在目标计算机上安装与嫌疑人使用的数据库版本相同的数据库。本文档没有详细介绍mysql的安装过程，网上有很多mysql的安装教程；
2)安装MySQL后，断开MySQL服务。文件夹C: 程序数据 MySQL MySQL server 5.7 data’是MySQL数据库的数据目录，需要附加的数据库数据文件复制到这个文件夹；
3)重启MySQL。如果能正常启动，就能成功附着。
PS:附数据库注意事项
1)如何快速确定MySQL在镜像中的存储路径？
Mysql数据库都有关键文件ibdata1，可以通过搜索来快速定位mysql数据文件的存储路径。
2)如何确定嫌疑人使用的MySQL数据库的具体版本号？
目标计算机上安装的mysql版本号需要与映像中mysql数据库的版本相同。如何确定MySQL数据库的版本：使用winhex打开任意。frm文件提取到MySQL数据库中，如图所示：
3)重启MySQL时如何解决错误？
复制数据文件后，如果在重新启动数据库时报告错误，复制的日志文件可以在任务管理器中的mysqld.exe进程之后被删除或剪切到另一个位置，并且可以再次启动MySQL服务。此时，MySQL服务可以正常启动并成功附加。如图所示：
2.重置MySQL数据库登录密码
附加MySQL数据库后，您需要一个登录密码来访问数据库数据。因为没有登录密码，需要重置MySQL数据库的登录密码才能访问和提取数据库的记录数据。具体步骤如下：
1)修改MySQL数据库的C: 程序数据 MySQL MySQL server 5.7中的my.ini配置文件，然后将修改后的my.ini复制到C: 程序文件 MySQL MySQL server 5.7中；如图所示，将配置文件中的basedir更改为MySQL数据库应用程序的路径，将datadir更改为MySQL数据库数据文件的存储路径：
2)在cmd命令行切换到C: 程序文件 mysql mysql server 5.7 的时尚石头路径，关闭MySQL服务执行命令mysqld-skip-grant-tables，用于跳过用户认证。请注意，此cmd命令行在执行此命令后无法继续运行，因此需要重复执行。
新打开一个cmd命令行切换到时尚的石头路径下；3）在新打开的cmd命令行，直接输入mysql，不需要带任何登录参数直接回车就可以登陆上数据库；
4）输入show database;可以看到所有数据库说明成功登录；
5）其中mysql库就是保存用户名的地方。输入use mysql;选择mysql数据库；
6）更改root密码；MySQL版本高于5.7.1输入update user set authentication_string=password("123456") where user="root";
7）刷新数据库mysql> flush privileges;之后退出MySQL: mysql>quit；此时MySQL密码已经重置成功；
PS：重置MySQL密码的注意事项
1）针对‘重置MySQL步骤6’中更改root密码，如若MySQL版本低于5.7，需输入update user set password=password("123456") where user="root";
2）在重置密码后重新启动MySQL服务，若MySQL服务无法启动；造成该错误的原因是日志文件发生错误，采用之前同样的解决方法：在任务管理中将mysqld.exe进程结束后把日志文件删除或者剪切到其他路径。
3.启动MySQL服务
1）重置MySQL的登录密码，启动MySQL服务，此时可以使用Navicat for MySQL管理器输入账号与修改后的密码后即可连接到MySQL数据库，访问数据并提取相关记录。
2）打开数据表，查看数据。
注意事项
在采用上述方法对MySQL数据库进行取证时也要注意以下几点：
1、确保从服务器中获取到的数据库的完整性，不然会导致附加失败；
2、确保搭建环境附加数据库的电脑具有足够的空间，不然会因为空间不足导致附加失败；
3、确保搭建环境中MySQL数据库版本与服务器中的MySQL数据库版本完全一致；
4、以上操作涉及到很多专业技能方面的，如有必要可找寻专业的公司协助完成。