全部知识文档

移动取证 > SIM 与 USIM

SIM 卡 / UICC 的读取与取证分析

SIM 卡是移动设备里容易被忽视、但单件信息密度较高的证物。

最后更新 2026-10-09

阅读

移动取证 > 应用数据库

SQLite 基础与结构

手机端最常见的数据库——几乎每个应用都有。嵌入式用得最广——浏览器缓存、桌面应用、浏览器书签都是它。也是取证工具的首选解析对象。

最后更新 2026-10-09

阅读

移动取证 > iOS

iOS 系统痕迹与 DFU 恢复

本篇要处理的是 iOS 取证里风险较高的一块：设备已锁定、备份做不了，但委托方仍希望知道设备上发生过什么。

最后更新 2026-10-09

阅读

加密与密码取证 > 卷加密

EFS 文件系统加密的证书取证

EFS（Encrypting File System，透明加密文件系统）是 Windows Professional 及以上版本提供的文件级加密功能。

最后更新 2026-10-09

阅读

文件系统分析 > 移动文件系统

FAT 系列结构

1980 年的 FAT 至今还在服役。它对取证教学的价值恰恰来自"简单"——整卷的簇分配表摊平成一张线性数组放在卷首，元数据只有一张 FAT 表加定长目录项，没有间接层。

最后更新 2026-10-09

阅读

计算机取证 > 日志与持久化

FSEvents 与时间机器

macOS 上删掉的东西通常还有痕迹可追，这三个机制各补一块，单拎出一个都不够用。

最后更新 2026-10-09

阅读

计算机取证 > 安全与权限

Keychain 与 Safari 痕迹

Keychain 承载 macOS 的凭据存储，Safari 的 History.db 记录该浏览器自身的访问行为。 在 Windows 上这两件事分别对应「凭据管理器」和「Chrome/Edge 的 History 数据库」，但有两处差异必须先讲清。

最后更新 2026-10-09

阅读

文件系统分析 > NTFS

NTFS 数据流（ADS）与隐藏数据

NTFS 上"一个文件"并不等于"一份内容"。同一个文件对象可以挂载多个独立的 $DATA 流：一个是匿名流（文件名能看到的那份），其余全是命名流（Named Stream），通过 文件名:流名 访问。

最后更新 2026-10-09

阅读

计算机取证 > Shell 与命令历史

/proc 虚拟文件系统取证

Linux 内核把自己的运行时状态挂在 /proc 上。那不是磁盘上的目录——里面绝大多数「文件」是内核在你读取的瞬间现生成的。

最后更新 2026-10-09

阅读

移动取证 > Android

应用私有数据与 SharedPreferences

应用私有目录是移动取证里数据密度最高、体积最小、解析难度最低的那一块。

最后更新 2026-10-09

阅读

计算机取证 > 执行痕迹

ShimCache 与 Amcache

Prefetch 有一个致命弱点：它是可选的。被显式关闭、被清理、或只记录路径哈希，都会让执行证据链断掉。

最后更新 2026-10-09

阅读

计算机取证 > plist 与 Spotlight

Spotlight 索引与元数据

Windows 上排查「哪些文件是从网上下载的」，要查 Zone.Identifier 备用数据流、查浏览器下载列表、查 Prefetch 哈希。macOS 上有一条比这些都直接的路：Spotlight 索引。

最后更新 2026-10-09

阅读