全部知识文档

磁盘镜像与仿真 > 只读挂载与仿真

虚拟机仿真

拿到可疑硬盘就"挂上跑起来看看"，是取证里最贵的错误。

最后更新 2026-10-09

阅读

计算机取证 > 日志分析

系统日志深度分析

Linux 日志分析真正的困难只有一个：你要找的那份日志，可能不叫那个名字，也可能不在那个目录，甚至可能已经不是文本了。

最后更新 2026-10-09

阅读

服务器与云取证 > 面板与控制台

Linux 服务器取证工件地图

把服务器和办公 PC 当成同一类检材，会直接用错处置方式。

最后更新 2026-10-09

阅读

磁盘镜像与仿真 > 镜像采集

远程勘验与在线取证

离线镜像是主战场，但有一类案子没有关机的那一刻：服务器还在跑、勒索还在加密、业务还在被入侵者登录。

最后更新 2026-10-09

阅读

内存与专项取证 > 内存分析

进程与注入检测

进程是内存里最基础也最有价值的工件。它回答三个基本问题：谁在跑、谁启动了谁、运行的这个是不是它自称的那个。

最后更新 2026-10-09

阅读

内存与专项取证 > 内存工件

内存证据的可采性与报告

内存证据在法律程序上面临一个结构性的不对称：它和磁盘证据的所有保障机制都是为磁盘设计的。

最后更新 2026-10-09

阅读

文件系统分析 > Unix 文件系统

文件雕刻与签名恢复

文件雕刻（file carving）是在完全不使用文件系统元数据的前提下，仅凭文件内容的字节模式（魔数与结束标记）从磁盘中"切"出文件。 它解决的问题很具体：文件的目录项被删了、文件系统损坏了、元数据库被格式化了——但数据块还在盘上，而且它们的字节排列没变。

最后更新 2026-10-09

阅读

计算机取证 > 安全与权限

取证实战流程

前七篇讲"macOS 上有什么、怎么看"。

最后更新 2026-10-09

阅读

移动取证 > iOS

iOS 备份与沙盒提取

iOS 取证与 Android 的主要区别在于：苹果把"可获取的数据"按层级严格区分，且每一层都需要不同的凭证。

最后更新 2026-10-09

阅读

文件系统分析 > NTFS

文件头与文件签名

用户和操作系统看到的是"这是一个 .jpg"，但磁盘上真正决定它"是什么"的，是文件开头那几个字节。扩展名是文件名的属性，不是文件的属性。

最后更新 2026-10-09

阅读

服务器与云取证 > Kubernetes

K8s 取证工件地图

Docker 主机上的取证对象是"一台机器 + 若干容器"，边界清楚。

最后更新 2026-10-09

阅读

取证基础与规范 > 实务与装备

取证装备与写保护器

取证装备要解决的矛盾很直接：既要高速读取介质，又绝对不能写入它。

最后更新 2026-10-09

阅读