事件日志深度分析
事件日志是 Windows 上少数由系统主动、持续、按审计规则记录的证据。它和注册表、Prefetch 这类「顺手留下的痕迹」有本质区别：注册表与 Prefetch 是副产品（为配置和加速而写，可能被清理，也...
持续积累
订阅更新
最新更新
按发布时间浏览公开内容，找到下一份值得学习的资料。
公开内容
共 327 条证据保管链与委托证明
sha256sum 能证明"这串字节从 3 月 15 日到现在没变过"。它证明不了另一件事：这串字节是从哪个设备上、什么时间、由谁、以什么授权取下来的。
包管理器与软件清单
多数 Linux 取证只读 auth.log 和文件时间戳，很少系统性地读包管理器的账本。
注册表取证
注册表保存 Windows 的系统与用户配置，也包含设备连接、程序使用、软件安装和账户信息等取证工件。分析时应确认 hive 来源、用户归属和事务日志状态，再将相关键值与文件、事件日志等证据交叉...
远程工具凭据的离线固定
如果你接过一台被控嫌疑的 Windows 机器，需要回答委托方最常问的那个问题——"这台机器什么时候被谁控制了、控到了哪些主机"——你并不需要解出任何密码。设备 ID、对方识别码、连接时间线这三样在...
时间戳换算与时区陷阱
"该文件于 2024 年 3 月 15 日 14:30 被创建"这句话要成立，必须先回答四个问题：这是什么格式、纪元起点是哪一天、精度是多少、存的是 UTC 还是本地时间。四个问题不回答，那个数字就是废的。
容器逃逸与运行时痕迹
在案件里，"容器里出现了宿主机的东西"往往比"容器里跑着恶意程序"更能定性。
数据库取证通用方法
前面几篇都是具体引擎的具体做法，本篇讲与引擎无关的骨架：拿到 .db、ibdata1 还是 dump.rdb，第一小时该怎么走、每一步产出什么、结论在什么情况下才算成立。
取证装备与写保护器
取证装备要解决的矛盾很直接：既要高速读取介质，又绝对不能写入它。
K8s 取证工件地图
Docker 主机上的取证对象是"一台机器 + 若干容器"，边界清楚。
文件头与文件签名
用户和操作系统看到的是"这是一个 .jpg"，但磁盘上真正决定它"是什么"的，是文件开头那几个字节。扩展名是文件名的属性，不是文件的属性。
iOS 备份与沙盒提取
iOS 取证与 Android 的主要区别在于：苹果把"可获取的数据"按层级严格区分，且每一层都需要不同的凭证。
取证实战流程
前七篇讲"macOS 上有什么、怎么看"。
文件雕刻与签名恢复
文件雕刻（file carving）是在完全不使用文件系统元数据的前提下，仅凭文件内容的字节模式（魔数与结束标记）从磁盘中"切"出文件。 它解决的问题很具体：文件的目录项被删了、文件系统损坏了、...
内存证据的可采性与报告
内存证据在法律程序上面临一个结构性的不对称：它和磁盘证据的所有保障机制都是为磁盘设计的。