Windows 11 与 Recall
Windows 11 带来的取证变化里，最需要重新认识的是 Recall。
持续积累
订阅更新
最新更新
按发布时间浏览公开内容，找到下一份值得学习的资料。
公开内容
共 327 条Windows Server 环境仿真
普通 PC 的仿真风险是"一个可疑程序跑起来了"。服务器仿真的风险是"半个企业内网醒过来了"。
Windows 内存 Profile 机制
内存取证里几乎所有"解析不出来"的问题，根源都在一件事上：框架不知道怎么解释这个镜像里的字节。
WebShell 工具流量特征
上一讲从文件系统找 WebShell，但这套方法有个硬边界：很多运营时间不长的后门已经被删了，内存马更是根本不落地为普通文件。
Web 攻击痕迹还原
日志能告诉你"有人请求了什么"，但回答不了三个关键问题：他改了什么？他落地了什么？他删掉了什么？
VeraCrypt / TrueCrypt 加密卷的取证解析
VeraCrypt 是 TrueCrypt 的社区续作（基于 7.1a 代码），目前是开源领域最主要的磁盘/文件级加密容器工具。
浏览器密码库与 Token 提取
浏览器是单设备上凭据密度最高的取证目标。一个普通用户的 Chrome 里可能有上百个站点的账号密码、信用卡信息、Cookie 会话和长期有效的 API Token。在磁盘上能拿到的凭据里，它常常是最集中的...
Sysmon 与 Windows 日志聚合
自带事件日志撑不起入侵检测。缺陷有两头：
Steady State 与 $LogFile 还原
NTFS 的 MFT 解析回答的是现状：某个条目现在有哪些属性、哪些流、什么时间戳。"这个条目原本是什么，是谁在什么时候改掉的"是另一个问题。现状写在 $MFT 的当前字节里，日志型文件系统还会另写...
MySQL 数据库取证
MySQL 取证的最大特征是：它不是"一个文件"，而是一整套文件协同描述数据库状态。只看 .ibd 或只看 .frm，都会得出错误结论。
LNK 快捷方式与 Jump List 跳转列表
.lnk 是 Windows 快捷方式文件，取证价值却远高于它的文件体积。一个通常只有 1–2 KB 的二进制文件，往往同时记录了目标文件的三个时间戳、目标所在卷的序列号、目标绝对路径、源机器的 NetBIOS...
APK 逆向与 Manifest 分析
APK 是移动取证里第一份也是最容易被跳过的证据。
网站目录与 WebShell 检测
站点目录是攻击者落地后门的主战场，也是唯一能"看见"入侵结果的地方。
Web 访问日志深度分析
W3C 访问日志是 IIS 上唯一的逐请求记录，也是全案密度最高、最容易被噪声淹没的证据。
Volume 与绑定挂载取证
Docker 取证工件地图 反复强调了一件事：容器内的改动默认不落盘，容器一删就没。