DIGIFORENSICS / WIKI
电子取证知识库
按知识领域查找取证方法、工具用法和证据分析实践。从一个主题开始，沿知识树继续阅读。
13 个知识领域165 篇公开文档
按领域浏览
每个领域均有可阅读文档，进入后可继续浏览其下的技术与方法。
最近更新
继续阅读已发布的知识文档。
远程控制工具痕迹
前面几篇的排查顺序都是从文件系统和日志入手。但有一类痕迹，它的起点不在磁盘上，而在网络连接表里。
电子数据取证的概念与分类
电子数据取证的目标是在原始数据不被改变的前提下，把散落在介质上的技术痕迹还原成能回答案件问题的证据。三个限定是连在一起的，少一个就退化：数据不能被改，否则无法分辨看到的是原始状态还是被人处理过的状态；痕迹必须能定位，否则证据存在但拿不到；答案必须能被复核，否则技术结论在质证时一碰就碎。
文件系统取证总览
拿到一块镜像，问"里面有什么"表面上是文件恢复，实际拆开是三层：镜像 → 卷（分区 / LVM / RAID）→ 文件系统。只有第三层才决定"文件叫什么、多大、什么时候改过、删到哪里去了"。
即时通讯取证
即时通讯数据在移动取证里证据价值高，也容易被整块漏掉。
取证工件地图
Linux 取证最反直觉的一点是它没有集中入口。Windows 上 Security.evtx 一个文件就能回答「谁在什么时候登录了什么」，Linux 没有等价物：同样的信息被拆散在文本日志、文件时间戳、utmp 二进制库、shell 历史、包管理器账本，以及只有运行中才存在的 /proc 里。
磁盘镜像制作与证据固定
产出的镜像就是后面所有分析的天花板。镜像阶段丢了数据、混进了写操作、或者哈希链断了，后面再精巧的结论都站不住。
Wiki 文档采用 CC BY-SA 4.0，引用资料保留原出处许可。
GitHub · Markdown 文档 ↗