SSH 痕迹与密钥取证
SSH 是 Linux 取证里通常优先分析的服务，原因有三条：互联网可达的 Linux 主机几乎必有 SSH 端口；它默认开启、默认留痕，成功、失败、会话建立与结束、连接断开服务端每一条都有日志；更关键的是，认证方式直接对应身份——日志里的 Accepted publickey for ... RSA SHA256:XXXX 那个指纹，能直接对应到某个 au…
知识空间
计算机取证
Windows 注册表与事件日志、Linux 与 macOS 执行痕迹、启动项、用户活动与时间线重建。
子知识
从下级知识节点继续浏览。
知识文档
该知识空间中已整理并公开的 28 篇文档。
LNK 快捷方式与 Jump List 跳转列表
.lnk 是 Windows 快捷方式文件，取证价值却远高于它的文件体积。一个通常只有 1–2 KB 的二进制文件，往往同时记录了目标文件的三个时间戳、目标所在卷的序列号、目标绝对路径、源机器的 NetBIOS 名，甚至源机器网卡的 MAC 地址。
Sysmon 与 Windows 日志聚合
自带事件日志撑不起入侵检测。缺陷有两头：
Windows 11 与 Recall
Windows 11 带来的取证变化里，最需要重新认识的是 Recall。
UsnJrnl 与文件操作时间线
NTFS 上有一个对取证极其重要、却不在常规目录遍历中出现的元数据文件：$UsnJrnl。它是 NTFS 的变更日志，记录该卷上每一次文件创建、删除、重命名、写入、加解密操作——并且在文件被删除、目录被清空之后，记录依然保留。
浏览器取证
浏览器是个人设备上信息记录最密集的应用：它同时记下了访问过什么、搜索过什么、下载过什么、登录过什么、填过什么，以及什么时候发生。
取证工件地图
拿到一台 Windows 主机镜像，第一个问题是：证据在哪里？
统一日志与启动项
Windows 取证有一条清晰的日志主线：事件查看器、Security.evtx、System.evtx。
plist 与偏好设置
macOS 没有注册表。系统与应用配置散落成一个个属性列表文件（plist），这就是它的"注册表等价物"。
Prefetch 深度解析
Windows 取证里最容易被误读的执行证据，就是 Prefetch。
Quarantine 与 Gatekeeper
macOS 上有一样 Windows 没有的元数据：扩展属性（extended attributes）。
Shell 痕迹与命令历史
~/.bashhistory 是 Linux 取证里最容易找到、也最容易误读的工件。它看起来人畜无害——就是一串敲过的命令。