全部知识文档

移动取证 > 应用数据库

SQLite WAL 取证

移动应用可能使用 SQLite 的 WAL 模式，但是否启用取决于应用、框架和数据库配置。

最后更新 2026-10-09

阅读

计算机取证 > 浏览器行为

SRUM 数据库分析

Windows 8 起系统里就常驻一个资源使用监控组件（SRU）。它每小时把每个应用的运行状况、资源消耗和网络流量写进一个 ESE 数据库。

最后更新 2026-10-09

阅读

计算机取证 > 持久化机制

SSH 痕迹与密钥取证

SSH 是 Linux 取证里通常优先分析的服务，原因有三条：互联网可达的 Linux 主机几乎必有 SSH 端口；它默认开启、默认留痕，成功、失败、会话建立与结束、连接断开服务端每一条都有日志；更关键的是，认证方式直接对应身份——日志里的 Accepted publickey for ... RSA SHA256:XXXX 那个指纹，能直接对应到某个 au…

最后更新 2026-10-09

阅读

内存与专项取证 > 镜像采集

Volatility 3 框架与插件选择

有了内存镜像之后，你面对的是一大块没有格式的二进制。

最后更新 2026-10-09

阅读

服务器与云取证 > Docker

Volume 与绑定挂载取证

Docker 取证工件地图 反复强调了一件事：容器内的改动默认不落盘，容器一删就没。

最后更新 2026-10-09

阅读

服务器与云取证 > 日志分析

Web 访问日志深度分析

W3C 访问日志是 IIS 上唯一的逐请求记录，也是全案密度最高、最容易被噪声淹没的证据。

最后更新 2026-10-09

阅读

服务器与云取证 > Web 与应用

网站目录与 WebShell 检测

站点目录是攻击者落地后门的主战场，也是唯一能"看见"入侵结果的地方。

最后更新 2026-10-09

阅读

移动取证 > Android

APK 逆向与 Manifest 分析

APK 是移动取证里第一份也是最容易被跳过的证据。

最后更新 2026-10-09

阅读

计算机取证 > 执行痕迹

LNK 快捷方式与 Jump List 跳转列表

.lnk 是 Windows 快捷方式文件，取证价值却远高于它的文件体积。一个通常只有 1–2 KB 的二进制文件，往往同时记录了目标文件的三个时间戳、目标所在卷的序列号、目标绝对路径、源机器的 NetBIOS 名，甚至源机器网卡的 MAC 地址。

最后更新 2026-10-09

阅读

移动取证 > 应用数据库

MySQL 数据库取证

MySQL 取证的最大特征是：它不是"一个文件"，而是一整套文件协同描述数据库状态。只看 .ibd 或只看 .frm，都会得出错误结论。

最后更新 2026-10-09

阅读

文件系统分析 > NTFS

Steady State 与 $LogFile 还原

NTFS 的 MFT 解析回答的是现状：某个条目现在有哪些属性、哪些流、什么时间戳。"这个条目原本是什么，是谁在什么时候改掉的"是另一个问题。现状写在 $MFT 的当前字节里，日志型文件系统还会另写一份"改动过程"——NTFS 的这份记录就是 $LogFile（MFT 记录 2）与 $UsnJrnl。

最后更新 2026-10-09

阅读

计算机取证 > 注册表与事件日志

Sysmon 与 Windows 日志聚合

自带事件日志撑不起入侵检测。缺陷有两头：

最后更新 2026-10-09

阅读