Volatility 3 框架与插件选择
有了内存镜像之后，你面对的是一大块没有格式的二进制。
持续积累
订阅更新
最新更新
按发布时间浏览公开内容，找到下一份值得学习的资料。
公开内容
共 327 条SSH 痕迹与密钥取证
SSH 是 Linux 取证里通常优先分析的服务，原因有三条：互联网可达的 Linux 主机几乎必有 SSH 端口；它默认开启、默认留痕，成功、失败、会话建立与结束、连接断开服务端每一条都有日志；更关键...
SRUM 数据库分析
Windows 8 起系统里就常驻一个资源使用监控组件（SRU）。它每小时把每个应用的运行状况、资源消耗和网络流量写进一个 ESE 数据库。
SQLite WAL 取证
移动应用可能使用 SQLite 的 WAL 模式，但是否启用取决于应用、框架和数据库配置。
Spotlight 索引与元数据
Windows 上排查「哪些文件是从网上下载的」，要查 Zone.Identifier 备用数据流、查浏览器下载列表、查 Prefetch 哈希。macOS 上有一条比这些都直接的路：Spotlight 索引。
ShimCache 与 Amcache
Prefetch 有一个致命弱点：它是可选的。被显式关闭、被清理、或只记录路径哈希，都会让执行证据链断掉。
应用私有数据与 SharedPreferences
应用私有目录是移动取证里数据密度最高、体积最小、解析难度最低的那一块。
/proc 虚拟文件系统取证
Linux 内核把自己的运行时状态挂在 /proc 上。那不是磁盘上的目录——里面绝大多数「文件」是内核在你读取的瞬间现生成的。
NTFS 数据流（ADS）与隐藏数据
NTFS 上"一个文件"并不等于"一份内容"。同一个文件对象可以挂载多个独立的 $DATA 流：一个是匿名流（文件名能看到的那份），其余全是命名流（Named Stream），通过 文件名:流名 访问。
Keychain 与 Safari 痕迹
Keychain 承载 macOS 的凭据存储，Safari 的 History.db 记录该浏览器自身的访问行为。 在 Windows 上这两件事分别对应「凭据管理器」和「Chrome/Edge 的 History 数据库」，但有两处差异必须先...
FSEvents 与时间机器
macOS 上删掉的东西通常还有痕迹可追，这三个机制各补一块，单拎出一个都不够用。
FAT 系列结构
1980 年的 FAT 至今还在服役。它对取证教学的价值恰恰来自"简单"——整卷的簇分配表摊平成一张线性数组放在卷首，元数据只有一张 FAT 表加定长目录项，没有间接层。
EFS 文件系统加密的证书取证
EFS（Encrypting File System，透明加密文件系统）是 Windows Professional 及以上版本提供的文件级加密功能。
iOS 系统痕迹与 DFU 恢复
本篇要处理的是 iOS 取证里风险较高的一块：设备已锁定、备份做不了，但委托方仍希望知道设备上发生过什么。
SQLite 基础与结构
手机端最常见的数据库——几乎每个应用都有。嵌入式用得最广——浏览器缓存、桌面应用、浏览器书签都是它。也是取证工具的首选解析对象。