全部知识文档

加密与密码取证 > 应用与数据库加密

浏览器密码库与 Token 提取

浏览器是单设备上凭据密度最高的取证目标。一个普通用户的 Chrome 里可能有上百个站点的账号密码、信用卡信息、Cookie 会话和长期有效的 API Token。在磁盘上能拿到的凭据里，它常常是最集中的一份。

最后更新 2026-10-09

阅读

加密与密码取证 > 卷加密

VeraCrypt / TrueCrypt 加密卷的取证解析

VeraCrypt 是 TrueCrypt 的社区续作（基于 7.1a 代码），目前是开源领域最主要的磁盘/文件级加密容器工具。

最后更新 2026-10-09

阅读

服务器与云取证 > 日志分析

Web 攻击痕迹还原

日志能告诉你"有人请求了什么"，但回答不了三个关键问题：他改了什么？他落地了什么？他删掉了什么？

最后更新 2026-10-09

阅读

服务器与云取证 > Web 与应用

WebShell 工具流量特征

上一讲从文件系统找 WebShell，但这套方法有个硬边界：很多运营时间不长的后门已经被删了，内存马更是根本不落地为普通文件。

最后更新 2026-10-09

阅读

内存与专项取证 > 镜像采集

Windows 内存 Profile 机制

内存取证里几乎所有"解析不出来"的问题，根源都在一件事上：框架不知道怎么解释这个镜像里的字节。

最后更新 2026-10-09

阅读

磁盘镜像与仿真 > 只读挂载与仿真

Windows Server 环境仿真

普通 PC 的仿真风险是"一个可疑程序跑起来了"。服务器仿真的风险是"半个企业内网醒过来了"。

最后更新 2026-10-09

阅读

计算机取证 > 浏览器行为

Windows 11 与 Recall

Windows 11 带来的取证变化里，最需要重新认识的是 Recall。

最后更新 2026-10-09

阅读

服务器与云取证 > Web 与应用

CDN 识别与源站挖掘

CDN 给网站带来性能与防护，也给取证制造了一个具体的麻烦：日志里的 IP 既不是真实访问者，也不是服务器本身。

最后更新 2026-10-09

阅读

服务器与云取证 > 日志分析

Exchange 与邮件数据恢复

邮件是企业取证里价值最高、也最难取到的一类证据。

最后更新 2026-10-09

阅读

移动取证 > Android

Frida 动态 Hook

Frida 可在运行时拦截函数调用、观察参数与返回值，并读取进程内存。它适用于静态分析难以确认的运行时密钥派生过程，以及加固应用在运行时释放的代码。

最后更新 2026-10-09

阅读

内存与专项取证 > 内存工件

Linux 与 Android 内存取证

Linux 内存取证在技术上比 Windows 更开放——没有卷级加密，/proc 直接暴露大量运行时信息。

最后更新 2026-10-09

阅读

移动取证 > 应用数据库

MongoDB 与 Redis 取证

这两类存储放在同一篇，不是凑数——它们共享一个取证特征：大量有价值的数据可能不在磁盘文件里。

最后更新 2026-10-09

阅读