即时通讯取证
即时通讯数据在移动取证里证据价值高，也容易被整块漏掉。
知识空间
移动取证
移动设备数据获取、应用分析与证据提取方法。
子知识
从下级知识节点继续浏览。
知识文档
该知识空间中已整理并公开的 26 篇文档。
数据库取证通用方法
前面几篇都是具体引擎的具体做法，本篇讲与引擎无关的骨架：拿到 .db、ibdata1 还是 dump.rdb，第一小时该怎么走、每一步产出什么、结论在什么情况下才算成立。
iOS 备份与沙盒提取
iOS 取证与 Android 的主要区别在于：苹果把"可获取的数据"按层级严格区分，且每一层都需要不同的凭证。
Android 数据存储总览
Android 取证最难的不是"读不出来"。
TWRP 恢复分区取证与物理镜像提取
Android 设备的提取难度是分层的。常见的可用手段按「对设备状态的改变」从轻到重排列：
MongoDB 与 Redis 取证
这两类存储放在同一篇，不是凑数——它们共享一个取证特征：大量有价值的数据可能不在磁盘文件里。
Linux 与 Android 内存取证
Linux 内存取证在技术上比 Windows 更开放——没有卷级加密，/proc 直接暴露大量运行时信息。
Frida 动态 Hook
Frida 可在运行时拦截函数调用、观察参数与返回值，并读取进程内存。它适用于静态分析难以确认的运行时密钥派生过程，以及加固应用在运行时释放的代码。
MySQL 数据库取证
MySQL 取证的最大特征是：它不是"一个文件"，而是一整套文件协同描述数据库状态。只看 .ibd 或只看 .frm，都会得出错误结论。
APK 逆向与 Manifest 分析
APK 是移动取证里第一份也是最容易被跳过的证据。
SQLite WAL 取证
移动应用可能使用 SQLite 的 WAL 模式，但是否启用取决于应用、框架和数据库配置。
应用私有数据与 SharedPreferences
应用私有目录是移动取证里数据密度最高、体积最小、解析难度最低的那一块。
iOS 系统痕迹与 DFU 恢复
本篇要处理的是 iOS 取证里风险较高的一块：设备已锁定、备份做不了，但委托方仍希望知道设备上发生过什么。
SQLite 基础与结构
手机端最常见的数据库——几乎每个应用都有。嵌入式用得最广——浏览器缓存、桌面应用、浏览器书签都是它。也是取证工具的首选解析对象。
SIM 卡 / UICC 的读取与取证分析
SIM 卡是移动设备里容易被忽视、但单件信息密度较高的证物。
SF/T 0157-2023 移动终端电子数据鉴定技术规范
SF/T 0157-2023 移动终端电子数据鉴定技术规范