全部知识文档

文件系统分析 > Unix 文件系统

ext4 结构与 inode

NTFS 把所有元数据集中在一张定长表（$MFT）里，ext 系相反：元数据分散在成百上千个 inode 和索引节点中。

最后更新 2026-10-09

阅读

文件系统分析 > 移动文件系统

F2FS 结构

F2FS 是三星为 NAND 闪存设计的文件系统，Android 手机上见到的多半是它。

最后更新 2026-10-09

阅读

服务器与云取证 > 日志分析

IIS 配置与 W3C 日志

IIS 取证有两个必须先解决的问题：这台服务器上有哪些站点、各自对应磁盘上哪个目录；以及这些站点的访问日志实际记录了哪些字段、按什么顺序排列。

最后更新 2026-10-09

阅读

计算机取证 > 日志与持久化

统一日志与启动项

Windows 取证有一条清晰的日志主线：事件查看器、Security.evtx、System.evtx。

最后更新 2026-10-09

阅读

服务器与云取证 > Web 与应用

Nginx 与 Apache 配置取证

没有 Web 服务器配置，手里的日志和文件就是一堆没有坐标的碎片。

最后更新 2026-10-09

阅读

文件系统分析 > NTFS

NTFS 结构与 MFT 解析

Windows 默认文件系统，真实案件里出现频率最高的就是它。最突出的设计特征是把每个文件或目录的全部元数据集中存放在一张固定大小的表里——$MFT（Master File Table），每条记录 1024 字节。

最后更新 2026-10-09

阅读

服务器与云取证 > Docker

镜像层与 overlay2 解析

传统服务器取证里，"这个程序是怎么来的"通常没有答案。

最后更新 2026-10-09

阅读

内存与专项取证 > 网络痕迹

网络流量与 PCAP 取证

技术边界声明：本文只讨论对已获授权检材中网络流量证据的离线分析。全文不涉及中间人劫持、证书透明性投毒、TLS 会话密钥提取、无线握手破解等主动干预手段。需要解密明文时，唯一的合规路径是依法取得会话密钥或由用户提供解密材料，不得以技术手段绕过加密。

最后更新 2026-10-09

阅读

计算机取证 > plist 与 Spotlight

plist 与偏好设置

macOS 没有注册表。系统与应用配置散落成一个个属性列表文件（plist），这就是它的"注册表等价物"。

最后更新 2026-10-09

阅读

计算机取证 > 执行痕迹

Prefetch 深度解析

Windows 取证里最容易被误读的执行证据，就是 Prefetch。

最后更新 2026-10-09

阅读

计算机取证 > 安全与权限

Quarantine 与 Gatekeeper

macOS 上有一样 Windows 没有的元数据：扩展属性（extended attributes）。

最后更新 2026-10-09

阅读

计算机取证 > Shell 与命令历史

Shell 痕迹与命令历史

~/.bashhistory 是 Linux 取证里最容易找到、也最容易误读的工件。它看起来人畜无害——就是一串敲过的命令。

最后更新 2026-10-09

阅读