进程与注入检测
进程是内存里最基础也最有价值的工件。它回答三个基本问题：谁在跑、谁启动了谁、运行的这个是不是它自称的那个。
持续积累
订阅更新
最新更新
按发布时间浏览公开内容，找到下一份值得学习的资料。
公开内容
共 327 条远程勘验与在线取证
离线镜像是主战场，但有一类案子没有关机的那一刻：服务器还在跑、勒索还在加密、业务还在被入侵者登录。
Linux 服务器取证工件地图
把服务器和办公 PC 当成同一类检材，会直接用错处置方式。
系统日志深度分析
Linux 日志分析真正的困难只有一个：你要找的那份日志，可能不叫那个名字，也可能不在那个目录，甚至可能已经不是文本了。
虚拟机仿真
拿到可疑硬盘就"挂上跑起来看看"，是取证里最贵的错误。
注入执行与免杀痕迹
只要代码跑起来，就会在内存里留下痕迹——这是绕不开的物理事实，也是这里全部检测面的来源。但痕迹能否在镜像里读到，取决于相关页是否仍驻留、有没有被覆盖或释放。
Passware Kit 与通用密码恢复方法论
前面几篇讨论的是加密存储：BitLocker 的 FVE metadata、EFS 的 $EFS 流、VeraCrypt 的卷头。它们有一个共同点——密钥或密钥材料留在系统的某个可利用位置上，取证是"找到它"的过程。
五阶段流程与基本原则
电子证据有一个物理世界证据没有的性质：单向衰变。一旦被改写就无法还原，一旦被污染就无法自证。硬盘上的一个扇区被覆盖，原内容不在任何备份里；一份台账漏记一段时间，那段时间的状态永远说...
内存中的凭据与密钥
内存是唯一一个能拿到运行时明文密钥的地方。
取证工件地图
拿到 Mac 镜像后的第一个障碍不是技术，是心智模型。
计划任务与持久化痕迹
"开机自动运行"这件事被分散在十几个互不相干的位置，每个位置有各自的格式、不同的加载时机、不同的日志记录方式。
取证技能树与学习路径
很多人的入门路径是这样：跟着视频敲一遍 imager 做一个镜像，导入 GUI 看到一堆文件，觉得"我会了"。然后遇到真实案件——一个装满加密卷的笔记本、一台已锁机的手机、一台被入侵的服务器——完全...
反取证手法与时间戳篡改检测
时间戳在取证报告里承担的角色很重——「该文件于某时创建」「该用户在某时访问过目标文档」。但它的可修改性在所有工件里排第一：改一个文件的时间戳不需要管理员权限、不触发安全审计、不留下新...
Linux 时间线重建
Windows 侧做时间线有个便利：事件日志带年份、带时区、精度到毫秒，还集中在少数几个文件里。导出即完整时间线。
内存采集方法
内存只有一次采集机会，而"能不能采到"这件事在不同平台上的答案完全相反。