取证技能树与学习路径
很多人的入门路径是这样：跟着视频敲一遍 imager 做一个镜像，导入 GUI 看到一堆文件，觉得"我会了"。然后遇到真实案件——一个装满加密卷的笔记本、一台已锁机的手机、一台被入侵的服务器——完全无从下手。
知识节点
流程与原则
在 取证基础与规范 中继续浏览相关技术、方法与案例。
关联资源
围绕“流程与原则”继续查找可练习的题目与可用检材。
节点文档
当前节点及其下级节点已经公开的知识内容。
阅读
五阶段流程与基本原则
电子证据有一个物理世界证据没有的性质：单向衰变。一旦被改写就无法还原，一旦被污染就无法自证。硬盘上的一个扇区被覆盖，原内容不在任何备份里；一份台账漏记一段时间，那段时间的状态永远说不清。