远程控制工具痕迹
前面几篇的排查顺序都是从文件系统和日志入手。但有一类痕迹，它的起点不在磁盘上，而在网络连接表里。
知识空间
服务器与云取证
Web 访问与攻击痕迹、IIS/Exchange/Linux 日志、Docker 与 K8s、云环境证据。
子知识
从下级知识节点继续浏览。
知识文档
该知识空间中已整理并公开的 20 篇文档。
宝塔新版加密数据解密
从宝塔 7.7 之后的新版架构开始，面板不再明文保存数据库口令。
Docker 取证工件地图
服务器取证的对象是一台还在跑的机器，证据与业务共存在同一套系统里。
工件地图
拿到 Windows Server 镜像，最容易犯的错误是套用桌面 Windows 的思路。
容器逃逸与运行时痕迹
在案件里，"容器里出现了宿主机的东西"往往比"容器里跑着恶意程序"更能定性。
K8s 取证工件地图
Docker 主机上的取证对象是"一台机器 + 若干容器"，边界清楚。
Linux 服务器取证工件地图
把服务器和办公 PC 当成同一类检材，会直接用错处置方式。
其他管理面板取证
宝塔之外，Linux 服务器上还有大量其他管理面板。
宝塔面板取证
宝塔面板（BT Panel）是国内常见的 Linux 建站与服务器管理面板。
Exchange 与邮件数据恢复
邮件是企业取证里价值最高、也最难取到的一类证据。
CDN 识别与源站挖掘
CDN 给网站带来性能与防护，也给取证制造了一个具体的麻烦：日志里的 IP 既不是真实访问者，也不是服务器本身。
WebShell 工具流量特征
上一讲从文件系统找 WebShell，但这套方法有个硬边界：很多运营时间不长的后门已经被删了，内存马更是根本不落地为普通文件。
Web 攻击痕迹还原
日志能告诉你"有人请求了什么"，但回答不了三个关键问题：他改了什么？他落地了什么？他删掉了什么？
网站目录与 WebShell 检测
站点目录是攻击者落地后门的主战场，也是唯一能"看见"入侵结果的地方。
Web 访问日志深度分析
W3C 访问日志是 IIS 上唯一的逐请求记录，也是全案密度最高、最容易被噪声淹没的证据。
Volume 与绑定挂载取证
Docker 取证工件地图 反复强调了一件事：容器内的改动默认不落盘，容器一删就没。