电子取证
从检材中寻找线索，把分析过程与证据依据记录清楚。
电子取证，也称数字取证，涉及电子数据的采集、保存、分析与结果说明。本站整理取证社区的技术文档、常用工具、训练检材与比赛题解，方便学习、查询和交流。
查找取证工具 阅读技术文档开始分析前
- 确认来源。记录检材类型、采集时间、校验值和工具版本。
- 建立时间线。统一时区，把文件、日志、数据库和网络记录放在一起核对。
- 保留依据。记录路径、查询命令、偏移位置和关键输出，让分析能够被复核。
计算机取证
从磁盘镜像、文件系统和操作系统记录中查找用户活动。常见材料包括 Windows 注册表、浏览器记录、事件日志、文件元数据，以及 macOS、Linux 的系统痕迹。
先确认镜像与分区，再分析时间线和用户痕迹；文件创建时间、修改时间与系统日志需要交叉核对。
浏览计算机取证文档 ↗浏览文件系统分析文档 ↗手机取证
分析 Android、iOS 的备份、应用数据和数据库，查找通信、位置、账户与文件记录。不同系统版本、提取方式和应用版本会影响可获得的数据。
记录设备与应用版本、提取来源和数据库路径，分析 SQLite、WAL、附件及时间戳之间的关联。
浏览移动取证文档 ↗内存取证
通过内存镜像观察采集时的进程、网络连接、模块和运行状态。内存中的线索可以补充磁盘记录，但不能替代对镜像来源与采集时间的确认。
核对操作系统与符号文件，结合进程树、命令行、网络连接和内存区域分析，保留查询命令与输出。
浏览内存与专项取证文档 ↗网络与服务器取证
把网络流量、Web 日志、登录记录、计划任务和服务配置放在同一条时间线上，分析访问、入侵和数据传输过程。日志缺失或时间偏差也需要记录。
从访问时间、IP 地址、请求路径与进程记录建立关联，区分真实事件、正常运维和证据本身的缺口。
浏览服务器与云取证文档 ↗电子数据采集与镜像
采集阶段需要记录检材来源、工具版本、操作过程与校验值。磁盘、手机、内存和网络数据的采集方式不同，后续分析应能追溯到相应的原始材料。
保留原始检材，在工作副本上分析；记录镜像格式、哈希校验、采集时间和交接过程。
浏览磁盘镜像与仿真文档 ↗数据恢复与解密
分析文件结构、应用数据库和加密方式，寻找可恢复的数据与合法取得的密钥线索。恢复结果可能不完整，需要说明工具、条件和验证方法。
先识别格式与版本，再选择恢复或解密方法；不要把工具输出直接视为已经确认的事实。
浏览加密与密码取证文档 ↗电子数据与取证规范
电子数据取证既涉及技术操作，也涉及来源、完整性和过程记录。学习时应结合规范原文，明确技术分析能够支持的结论及适用条件。
关注证据链、操作留痕、完整性校验和结果复核；实际案件以适用法律、标准和委托要求为准。
浏览取证基础与规范文档 ↗题目练习与比赛复盘
选择带有检材的题目动手分析，写下自己的证据路径，再与比赛题解对照。题目中的答案用于训练；分析方法是否适用，仍需结合具体数据与条件判断。
技术文档由社区整理维护。发现路径、版本或操作说明有误，可以通过页面中的反馈入口提交修正。