SIM 卡 / UICC 的读取与取证分析
SIM 卡是移动设备里容易被忽视、但单件信息密度较高的证物。
持续积累
订阅更新
最新更新
按发布时间浏览公开内容，找到下一份值得学习的资料。
公开内容
共 327 条Shell 痕迹与命令历史
~/.bashhistory 是 Linux 取证里最容易找到、也最容易误读的工件。它看起来人畜无害——就是一串敲过的命令。
Quarantine 与 Gatekeeper
macOS 上有一样 Windows 没有的元数据：扩展属性（extended attributes）。
Prefetch 深度解析
Windows 取证里最容易被误读的执行证据，就是 Prefetch。
plist 与偏好设置
macOS 没有注册表。系统与应用配置散落成一个个属性列表文件（plist），这就是它的"注册表等价物"。
网络流量与 PCAP 取证
技术边界声明：本文只讨论对已获授权检材中网络流量证据的离线分析。全文不涉及中间人劫持、证书透明性投毒、TLS 会话密钥提取、无线握手破解等主动干预手段。需要解密明文时，唯一的合规路径是...
镜像层与 overlay2 解析
传统服务器取证里，"这个程序是怎么来的"通常没有答案。
NTFS 结构与 MFT 解析
Windows 默认文件系统，真实案件里出现频率最高的就是它。最突出的设计特征是把每个文件或目录的全部元数据集中存放在一张固定大小的表里——$MFT（Master File Table），每条记录 1024 字节。
Nginx 与 Apache 配置取证
没有 Web 服务器配置，手里的日志和文件就是一堆没有坐标的碎片。
统一日志与启动项
Windows 取证有一条清晰的日志主线：事件查看器、Security.evtx、System.evtx。
IIS 配置与 W3C 日志
IIS 取证有两个必须先解决的问题：这台服务器上有哪些站点、各自对应磁盘上哪个目录；以及这些站点的访问日志实际记录了哪些字段、按什么顺序排列。
F2FS 结构
F2FS 是三星为 NAND 闪存设计的文件系统，Android 手机上见到的多半是它。
ext4 结构与 inode
NTFS 把所有元数据集中在一张定长表（$MFT）里，ext 系相反：元数据分散在成百上千个 inode 和索引节点中。
K8s 审计日志与 ConfigMap/Secret
Secret 泄漏是容器化架构里后果最重、也最难彻底根治的事故原因之一。 根因不是加密做得不好，而是 K8s 的设计目标从来不是"防泄漏"，而是"防误显"：
BitLocker 全卷加密的取证路径
BitLocker 是 Windows 内置的全卷加密方案，位置在卷层之下的透明加密层：NTFS/FAT/exFAT 照常读写，扇区落盘前被加密、读出后被解密。