【文档元数据】揪出BTK杀手

丹尼斯·雷德，美国著名连环杀手，在2005年被捕时，是帕克市的市政法令执行官兼路德天主教会的高层神职人员。他自1974年至1991年，共计猥亵并杀害了10名妇女及儿童，他热衷于在作案后向警方和媒体寄去详细描写其杀人细节的“诗句”，挑衅司法的同时，还公开自己的“杀人感受”。雷德命名自己为“BTK”，是“Bind，Torture，Kill”的缩写，意为“捆绑，折磨和杀害”，基本再现了他每次作案时残忍的虐杀过程。丹尼斯·雷德逍遥法外31年，常规的调查手段一直没什么进展，直到丹尼斯主动寄给媒体一个软盘，里面有一封word文档，通过对word文档元数据的分析，丹尼斯的身份暴露了。

1974年1月15日，丹尼斯·雷德首次作案，残忍的杀害了奥特罗一家四口。就在“奥特罗谋杀案”发生9个月之后，1974年11月，《维奇塔鹰报》的堂.格林治尔先生（Don Granger）接到一个匿名电话，匿名者表示自己就是凶手。匿名者让他把注意在维奇塔公共图书馆里的一本机械工程学教科书。在这本书里，格林治尔发现一封信，信中对约瑟夫•奥特罗一家被谋杀的惨案中许多不为人知的谋杀细节都进行了详细的描述，并且暗示了还将会有更多的受害者。这封信的真实性是毋庸置疑的，因为关于这起谋杀，它提供了一些只有警察和凶手才知道的案情细节。

在这封信中，凶手表示“我不能停止我的所作所为，魔鬼也在继续为所欲为，它伤害我正如这个社会对我的伤害一样。这个社会应该感谢像我一样能够解救自己的人。我每天都梦想着有一些受害人正在被我折磨。”

信件的署名是“真实的罪恶”，凶手同时宣称，自己已经“选好了下一个目标”。此后，在1974年-1978年间，凶手又犯下3起命案，作案手法与奥特罗谋杀案如出一辙：受害者被捆绑，勒颈致死。其中一个现场虽然出现精液，但死者却没有遭到强奸。

在回信地址里，BTK用“Bill Thomas Killiams”代替自己

1978年1月31日，凶手给《维奇塔鹰报》寄了一封信。信里是他为1977年3月被其谋杀的萨莉•维安做的一首诗。由于这封信被错误的寄给《维奇塔鹰报》的广告部，所以这封信被忽视了好长时间。

1978年2月10日，大概凶手觉得自己受到了忽视，所以他又向威奇托电视台寄了一封信，在信中凶手描述了自己在捆绑折磨受害者时的快感。并希望警方“给自己起个绰号”：

当我已经杀死了7个人而且还将杀死更多的人时，媒体完全可以给我起个绰号了。我比较喜欢以下这些绰号，你们呢？BTK绞杀手、威奇托扼颈魔、诗人扼颈魔、连裤袜绞杀手、精神病绞杀手、威奇托刽子手、威奇托死刑执行人、威奇托绞刑架等等。

信件的署名是“BTK”，即“捆绑、折磨、杀戮”（Bind, Torture, Kill）的缩写，“BTK”杀手由此得名。

在“BTK”首次作案三十周年的时候，也就是2004年1月15日，堪萨斯州当地的一位著名律师罗伯特•比迪发表了一部关于“BTK连环杀人案件”著作。在这部著作中，罗伯特•比迪提出一个推断结论：“BTK”已经不会再杀人了，甚至他可能已经死了。

没想到这部著作发表以后，还不到两个月，2004年3月14日，威奇托市警方收到了一封“BTK信件”。这封信件似乎是专门针对罗伯特•比迪的推断结论，想要证明自己不仅活得好好的，而且还能犯下让警方无法侦破的凶案。在这封信中，信件的写作者声称，其对发生在1986年的，当时尚未侦破的悬案维奇•瓦格勒谋杀案负责，信件的署名是“BTK”。

这一次，威奇托市警方转变了侦查思路，不仅针对“BTK”提供的物证进行查证，而且反客为主、主动出击——针对“BTK”渴望出名、喜欢被人关注的心理特点，肯•兰德沃警官在媒体上公开发表声明，表明希望与“BTK”进行交流的意愿。用专案小组的负责人肯•兰德沃警官的话说“我想让他明白，他终于得到了渴望已久的恶名。”

面对肯•兰德沃警官的公开声明，一贯作案非常谨慎小心的“BTK”竟然上钩了。他开始有意识地回应肯•兰德沃警官与其进行交流的要求，经常邮寄一些便条和包裹。

从2004年3月开始，将近十个月的时间里，他没有作案，却时常和警方进行交流。在这种交流的过程中，一些重大的错误开始在“BTK”的身上出现。在一个留在五金店的包裹中，“BTK”竟然向警方询问：能否通过电脑软盘追查到使用者的情况。如果警方保证无法追查，那么他今后就用电脑软盘来向警方传递信息。

2005年2月16日，美国福克斯公司在威奇托市下属的KSAS电视台收到了一个鼓鼓囊囊的信封，其中就有一张粉色的软盘。

警方的计算机专家使用EnCase软件检查软盘，发现软盘上另一个被删除的微软Word文档，经专门软件恢复后，找到了一个关键词“Christ Lutheran Church”；而那个文档的最后修改人署名为Dennis。通过在网上对当地教会的相关信息进行检索，警方找到了一个人名：Dennis•Rader，即丹尼斯•莱德，他是当地教堂的会众主席。据此，警方顺藤摸瓜，又找到了丹尼斯•莱德的地址。

而通过“BTK”在作案现场留下的精液，警方通过DNA确定了凶手就是莱德。2005年2月25日中午12点多，丹尼斯•莱德在开车回家途中被警方拦截，并当场逮捕。

2005年8月，丹尼斯•莱德被判处10个终身监禁。

---

文档元数据：任何文件系统中的数据分为数据和元数据。数据是指普通文件中的实际数据，即文件的实际内容；而元数据指用来描述一个文件的特征的系统数据，诸如访问权限、文件拥有者以及文件数据块的分布信息(inode…)等等

对于word文档来说，最直观的查看元数据的方法就是文档的属性。当然文档的元数据也是可以通过一些工具修改的。

来源：网安杂谈

windows时间规则实验1：修改文件名