Linux 时间线重建
Windows 侧做时间线有个便利：事件日志带年份、带时区、精度到毫秒，还集中在少数几个文件里。导出即完整时间线。
持续积累
订阅更新
最新更新
按发布时间浏览公开内容，找到下一份值得学习的资料。
公开内容
共 165 条内存采集方法
内存只有一次采集机会，而"能不能采到"这件事在不同平台上的答案完全相反。
其他管理面板取证
宝塔之外，Linux 服务器上还有大量其他管理面板。
宝塔面板取证
宝塔面板（BT Panel）是国内常见的 Linux 建站与服务器管理面板。
网络连接与流量痕迹
"这台机器当时在和谁通信"这个问题，内存给出的答案比任何日志都完整。
取证工件地图
拿到一台 Windows 主机镜像，第一个问题是：证据在哪里？
浏览器取证
浏览器是个人设备上信息记录最密集的应用：它同时记下了访问过什么、搜索过什么、下载过什么、登录过什么、填过什么，以及什么时候发生。
Android 数据存储总览
Android 取证最难的不是"读不出来"。
证据文件格式与格式转换
同一个物理磁盘的逐位副本，可以被包装成十几种完全不同的文件。选错格式影响的是证据可用性：数据可能无法被检验方打开、压缩后无法证明原始哈希、或者存储开销直接压垮预算。
数据库与配置文件加密的识别与解密
"文件打不开"是取证中最常见的求助之一，但"打不开"至少有五种完全不同的原因，混为一谈会让整个处置方向跑偏：
TWRP 恢复分区取证与物理镜像提取
Android 设备的提取难度是分层的。常见的可用手段按「对设备状态的改变」从轻到重排列：
UsnJrnl 与文件操作时间线
NTFS 上有一个对取证极其重要、却不在常规目录遍历中出现的元数据文件：$UsnJrnl。它是 NTFS 的变更日志，记录该卷上每一次文件创建、删除、重命名、写入、加解密操作——并且在文件被删除、目录...
MongoDB 与 Redis 取证
这两类存储放在同一篇，不是凑数——它们共享一个取证特征：大量有价值的数据可能不在磁盘文件里。
Linux 与 Android 内存取证
Linux 内存取证在技术上比 Windows 更开放——没有卷级加密，/proc 直接暴露大量运行时信息。
Frida 动态 Hook
Frida 可在运行时拦截函数调用、观察参数与返回值，并读取进程内存。它适用于静态分析难以确认的运行时密钥派生过程，以及加固应用在运行时释放的代码。