电子数据取证的概念与分类
电子数据取证的目标是在原始数据不被改变的前提下，把散落在介质上的技术痕迹还原成能回答案件问题的证据。三个限定是连在一起的，少一个就退化：数据不能被改，否则无法分辨看到的是原始状态还是被人处理过的状态；痕迹必须能定位，否则证据存在但拿不到；答案必须能被复核，否则技术结论在质证时一碰就碎。
知识空间
取证基础与规范
证据分类、哈希与完整性、时间戳换算、反取证识别、装备与写保护、保管链与授权边界。
子知识
从下级知识节点继续浏览。
知识文档
该知识空间中已整理并公开的 12 篇文档。
证据文件格式：DD、E01 与 AFF4
把一块 2 TB 硬盘完整复制下来，产出的那个 2 TB 文件就是 DD 镜像。
赛事、靶场与备赛方法论
取证是典型的平时看不出、考试现原形的技能。在自己的笔记本上跑通 fls、icat、Volatility 插件链，一路读懂每一个字段的含义，只能说明会用工具，说明不了能在压力下做出判断。
近似匹配与模糊哈希
哈希与完整性校验 里的 MD5 / SHA-256 有一个前提：它是对完整字节序列的一次性摘要。这带来两个后果，第二个才是近似匹配存在的理由。
哈希与完整性校验
比对 2 TB 的镜像和原始介质是不是同一份，靠逐字节比对要跑几天。哈希把它压成 64 个十六进制字符。
合规授权与法律边界
技术失误大多可以补救——镜像采错了重采，参数填错了重跑，时间戳算错了重新换算。越权取证往往不可挽回，而且它的代价不落在技术层面。
证据保管链与委托证明
sha256sum 能证明"这串字节从 3 月 15 日到现在没变过"。它证明不了另一件事：这串字节是从哪个设备上、什么时间、由谁、以什么授权取下来的。
时间戳换算与时区陷阱
"该文件于 2024 年 3 月 15 日 14:30 被创建"这句话要成立，必须先回答四个问题：这是什么格式、纪元起点是哪一天、精度是多少、存的是 UTC 还是本地时间。四个问题不回答，那个数字就是废的。
取证装备与写保护器
取证装备要解决的矛盾很直接：既要高速读取介质，又绝对不能写入它。
五阶段流程与基本原则
电子证据有一个物理世界证据没有的性质：单向衰变。一旦被改写就无法还原，一旦被污染就无法自证。硬盘上的一个扇区被覆盖，原内容不在任何备份里；一份台账漏记一段时间，那段时间的状态永远说不清。
取证技能树与学习路径
很多人的入门路径是这样：跟着视频敲一遍 imager 做一个镜像，导入 GUI 看到一堆文件，觉得"我会了"。然后遇到真实案件——一个装满加密卷的笔记本、一台已锁机的手机、一台被入侵的服务器——完全无从下手。
反取证手法与时间戳篡改检测
时间戳在取证报告里承担的角色很重——「该文件于某时创建」「该用户在某时访问过目标文档」。但它的可修改性在所有工件里排第一：改一个文件的时间戳不需要管理员权限、不触发安全审计、不留下新的文件内容，只改动 MFT 里的几个数字。