数据库取证通用方法
前面几篇都是具体引擎的具体做法，本篇讲与引擎无关的骨架：拿到 .db、ibdata1 还是 dump.rdb，第一小时该怎么走、每一步产出什么、结论在什么情况下才算成立。
最后更新 2026-10-09
知识库 / 搜索
全部知识文档
搜索结果
找到 165 个相关结果。
时间戳换算与时区陷阱
"该文件于 2024 年 3 月 15 日 14:30 被创建"这句话要成立，必须先回答四个问题：这是什么格式、纪元起点是哪一天、精度是多少、存的是 UTC 还是本地时间。四个问题不回答，那个数字就是废的。
最后更新 2026-10-09
远程工具凭据的离线固定
如果你接过一台被控嫌疑的 Windows 机器，需要回答委托方最常问的那个问题——"这台机器什么时候被谁控制了、控到了哪些主机"——你并不需要解出任何密码。设备 ID、对方识别码、连接时间线这三样在多数远控工具里是明文存的，它们躺在几个配置文件和日志文件里，等着你用关键字去捞。
最后更新 2026-10-09
注册表取证
注册表保存 Windows 的系统与用户配置，也包含设备连接、程序使用、软件安装和账户信息等取证工件。分析时应确认 hive 来源、用户归属和事务日志状态，再将相关键值与文件、事件日志等证据交叉核对。
最后更新 2026-10-09
证据保管链与委托证明
sha256sum 能证明"这串字节从 3 月 15 日到现在没变过"。它证明不了另一件事：这串字节是从哪个设备上、什么时间、由谁、以什么授权取下来的。
最后更新 2026-10-09
事件日志深度分析
事件日志是 Windows 上少数由系统主动、持续、按审计规则记录的证据。它和注册表、Prefetch 这类「顺手留下的痕迹」有本质区别：注册表与 Prefetch 是副产品（为配置和加速而写，可能被清理，也可能因功能未启用而不存在），事件日志则是专职记录——存在的目的就是记录「谁在什么时候做了什么」。
最后更新 2026-10-09
Wiki 文档采用 CC BY-SA 4.0，引用资料保留原出处许可。
GitHub · Markdown 文档 ↗