近似匹配与模糊哈希
哈希与完整性校验 里的 MD5 / SHA-256 有一个前提：它是对完整字节序列的一次性摘要。这带来两个后果，第二个才是近似匹配存在的理由。
知识节点
取证概念
在 取证基础与规范 中继续浏览相关技术、方法与案例。
关联资源
围绕“取证概念”继续查找可练习的题目与可用检材。
节点文档
当前节点及其下级节点已经公开的知识内容。
阅读
电子数据取证的概念与分类
电子数据取证的目标是在原始数据不被改变的前提下，把散落在介质上的技术痕迹还原成能回答案件问题的证据。三个限定是连在一起的，少一个就退化：数据不能被改，否则无法分辨看到的是原始状态还是被人处理过的状态；痕迹必须能定位，否则证据存在但拿不到；答案必须能被复核，否则技术结论在质证时一碰就碎。
反取证手法与时间戳篡改检测
时间戳在取证报告里承担的角色很重——「该文件于某时创建」「该用户在某时访问过目标文档」。但它的可修改性在所有工件里排第一：改一个文件的时间戳不需要管理员权限、不触发安全审计、不留下新的文件内容，只改动 MFT 里的几个数字。
时间戳换算与时区陷阱
"该文件于 2024 年 3 月 15 日 14:30 被创建"这句话要成立，必须先回答四个问题：这是什么格式、纪元起点是哪一天、精度是多少、存的是 UTC 还是本地时间。四个问题不回答，那个数字就是废的。
哈希与完整性校验
比对 2 TB 的镜像和原始介质是不是同一份，靠逐字节比对要跑几天。哈希把它压成 64 个十六进制字符。