全部知识文档

计算机取证 > 执行痕迹

UsnJrnl 与文件操作时间线

NTFS 上有一个对取证极其重要、却不在常规目录遍历中出现的元数据文件：$UsnJrnl。它是 NTFS 的变更日志，记录该卷上每一次文件创建、删除、重命名、写入、加解密操作——并且在文件被删除、目录被清空之后，记录依然保留。

最后更新 2026-10-09

阅读

移动取证 > Android

TWRP 恢复分区取证与物理镜像提取

Android 设备的提取难度是分层的。常见的可用手段按「对设备状态的改变」从轻到重排列：

最后更新 2026-10-09

阅读

加密与密码取证 > 应用与数据库加密

数据库与配置文件加密的识别与解密

"文件打不开"是取证中最常见的求助之一，但"打不开"至少有五种完全不同的原因，混为一谈会让整个处置方向跑偏：

最后更新 2026-10-09

阅读

磁盘镜像与仿真 > 镜像采集

证据文件格式与格式转换

同一个物理磁盘的逐位副本，可以被包装成十几种完全不同的文件。选错格式影响的是证据可用性：数据可能无法被检验方打开、压缩后无法证明原始哈希、或者存储开销直接压垮预算。

最后更新 2026-10-09

阅读

移动取证 > Android

Android 数据存储总览

Android 取证最难的不是"读不出来"。

最后更新 2026-10-09

阅读

计算机取证 > 浏览器行为

浏览器取证

浏览器是个人设备上信息记录最密集的应用：它同时记下了访问过什么、搜索过什么、下载过什么、登录过什么、填过什么，以及什么时候发生。

最后更新 2026-10-09

阅读

计算机取证 > 注册表与事件日志

取证工件地图

拿到一台 Windows 主机镜像，第一个问题是：证据在哪里？

最后更新 2026-10-09

阅读

内存与专项取证 > 内存工件

网络连接与流量痕迹

"这台机器当时在和谁通信"这个问题，内存给出的答案比任何日志都完整。

最后更新 2026-10-09

阅读

服务器与云取证 > 面板与控制台

宝塔面板取证

宝塔面板（BT Panel）是国内常见的 Linux 建站与服务器管理面板。

最后更新 2026-10-09

阅读

文件系统分析 > APFS 与 HFS+

APFS 容器与快照

APFS 分析需要区分容器与卷，并结合 B-tree、快照和写时复制机制定位文件。容器布局、快照状态及加密配置会影响可提取的数据范围。

最后更新 2026-10-09

阅读

加密与密码取证 > 卷加密

BitLocker 全卷加密的取证路径

BitLocker 是 Windows 内置的全卷加密方案，位置在卷层之下的透明加密层：NTFS/FAT/exFAT 照常读写，扇区落盘前被加密、读出后被解密。

最后更新 2026-10-09

阅读

服务器与云取证 > Kubernetes

K8s 审计日志与 ConfigMap/Secret

Secret 泄漏是容器化架构里后果最重、也最难彻底根治的事故原因之一。 根因不是加密做得不好，而是 K8s 的设计目标从来不是"防泄漏"，而是"防误显"：

最后更新 2026-10-09

阅读