全部知识文档

服务器与云取证 > 面板与控制台

远程控制工具痕迹

前面几篇的排查顺序都是从文件系统和日志入手。但有一类痕迹，它的起点不在磁盘上，而在网络连接表里。

最后更新 2026-10-09

阅读

取证基础与规范 > 取证概念

电子数据取证的概念与分类

电子数据取证的目标是在原始数据不被改变的前提下，把散落在介质上的技术痕迹还原成能回答案件问题的证据。三个限定是连在一起的，少一个就退化：数据不能被改，否则无法分辨看到的是原始状态还是被人处理过的状态；痕迹必须能定位，否则证据存在但拿不到；答案必须能被复核，否则技术结论在质证时一碰就碎。

最后更新 2026-10-09

阅读

文件系统分析 > NTFS

文件系统取证总览

拿到一块镜像，问"里面有什么"表面上是文件恢复，实际拆开是三层：镜像 → 卷（分区 / LVM / RAID）→ 文件系统。只有第三层才决定"文件叫什么、多大、什么时候改过、删到哪里去了"。

最后更新 2026-10-09

阅读

移动取证 > Android

即时通讯取证

即时通讯数据在移动取证里证据价值高，也容易被整块漏掉。

最后更新 2026-10-09

阅读

计算机取证 > 持久化机制

取证工件地图

Linux 取证最反直觉的一点是它没有集中入口。Windows 上 Security.evtx 一个文件就能回答「谁在什么时候登录了什么」，Linux 没有等价物：同样的信息被拆散在文本日志、文件时间戳、utmp 二进制库、shell 历史、包管理器账本，以及只有运行中才存在的 /proc 里。

最后更新 2026-10-09

阅读

磁盘镜像与仿真 > 镜像采集

磁盘镜像制作与证据固定

产出的镜像就是后面所有分析的天花板。镜像阶段丢了数据、混进了写操作、或者哈希链断了，后面再精巧的结论都站不住。

最后更新 2026-10-09

阅读

服务器与云取证 > 面板与控制台

宝塔新版加密数据解密

从宝塔 7.7 之后的新版架构开始，面板不再明文保存数据库口令。

最后更新 2026-10-09

阅读

取证基础与规范 > 证据保管链

证据文件格式：DD、E01 与 AFF4

把一块 2 TB 硬盘完整复制下来，产出的那个 2 TB 文件就是 DD 镜像。

最后更新 2026-10-09

阅读

取证基础与规范 > 证据保管链

赛事、靶场与备赛方法论

取证是典型的平时看不出、考试现原形的技能。在自己的笔记本上跑通 fls、icat、Volatility 插件链，一路读懂每一个字段的含义，只能说明会用工具，说明不了能在压力下做出判断。

最后更新 2026-10-09

阅读

计算机取证 > 注册表与事件日志

用户行为痕迹

Prefetch 回答「程序有没有跑过」。用户行为痕迹回答另一件事——人在干什么。

最后更新 2026-10-09

阅读

取证基础与规范 > 取证概念

近似匹配与模糊哈希

哈希与完整性校验 里的 MD5 / SHA-256 有一个前提：它是对完整字节序列的一次性摘要。这带来两个后果，第二个才是近似匹配存在的理由。

最后更新 2026-10-09

阅读

内存与专项取证 > 镜像采集

内存取证总览

如果你接手的是一台还在运行的机器，或者一台刚刚被人手动关机的机器，那么有一个问题磁盘永远回答不了：这台机器在被关掉的那一刻，到底在做什么？

最后更新 2026-10-09

阅读