DIGIFORENSICS / WIKI
电子取证知识库
按知识领域查找取证方法、工具用法和证据分析实践。从一个主题开始，沿知识树继续阅读。
13 个知识领域165 篇公开文档
按领域浏览
每个领域均有可阅读文档，进入后可继续浏览其下的技术与方法。
最近更新
继续阅读已发布的知识文档。
数据库取证通用方法
前面几篇都是具体引擎的具体做法，本篇讲与引擎无关的骨架：拿到 .db、ibdata1 还是 dump.rdb，第一小时该怎么走、每一步产出什么、结论在什么情况下才算成立。
容器逃逸与运行时痕迹
在案件里，"容器里出现了宿主机的东西"往往比"容器里跑着恶意程序"更能定性。
时间戳换算与时区陷阱
"该文件于 2024 年 3 月 15 日 14:30 被创建"这句话要成立，必须先回答四个问题：这是什么格式、纪元起点是哪一天、精度是多少、存的是 UTC 还是本地时间。四个问题不回答，那个数字就是废的。
远程工具凭据的离线固定
如果你接过一台被控嫌疑的 Windows 机器，需要回答委托方最常问的那个问题——"这台机器什么时候被谁控制了、控到了哪些主机"——你并不需要解出任何密码。设备 ID、对方识别码、连接时间线这三样在多数远控工具里是明文存的，它们躺在几个配置文件和日志文件里，等着你用关键字去捞。
注册表取证
注册表保存 Windows 的系统与用户配置，也包含设备连接、程序使用、软件安装和账户信息等取证工件。分析时应确认 hive 来源、用户归属和事务日志状态，再将相关键值与文件、事件日志等证据交叉核对。
包管理器与软件清单
多数 Linux 取证只读 auth.log 和文件时间戳，很少系统性地读包管理器的账本。
Wiki 文档采用 CC BY-SA 4.0，引用资料保留原出处许可。
GitHub · Markdown 文档 ↗