DIGIFORENSICS / WIKI
电子取证知识库
按知识领域查找取证方法、工具用法和证据分析实践。从一个主题开始，沿知识树继续阅读。
13 个知识领域165 篇公开文档
按领域浏览
每个领域均有可阅读文档，进入后可继续浏览其下的技术与方法。
最近更新
继续阅读已发布的知识文档。
远程控制工具痕迹
前面几篇的排查顺序都是从文件系统和日志入手。但有一类痕迹，它的起点不在磁盘上，而在网络连接表里。
其他管理面板取证
宝塔之外，Linux 服务器上还有大量其他管理面板。
内存采集方法
内存只有一次采集机会，而"能不能采到"这件事在不同平台上的答案完全相反。
Linux 时间线重建
Windows 侧做时间线有个便利：事件日志带年份、带时区、精度到毫秒，还集中在少数几个文件里。导出即完整时间线。
反取证手法与时间戳篡改检测
时间戳在取证报告里承担的角色很重——「该文件于某时创建」「该用户在某时访问过目标文档」。但它的可修改性在所有工件里排第一：改一个文件的时间戳不需要管理员权限、不触发安全审计、不留下新的文件内容，只改动 MFT 里的几个数字。
取证技能树与学习路径
很多人的入门路径是这样：跟着视频敲一遍 imager 做一个镜像，导入 GUI 看到一堆文件，觉得"我会了"。然后遇到真实案件——一个装满加密卷的笔记本、一台已锁机的手机、一台被入侵的服务器——完全无从下手。
Wiki 文档采用 CC BY-SA 4.0，引用资料保留原出处许可。
GitHub · Markdown 文档 ↗