第1章數字取證概述1
1.1數字取證與電子數據證據1
1.1.1數字取證的概念1
1.1.2電子數據作為證據2
1.1.3電子數據的證據效力、證據力、證明力和質證3
1.1.4電子數據司法鋻定4
1.2數字取證的實施5
1.2.1數字取證的原則5
1.2.2數字取證的模型6
1.2.3數字取證的實施8
1.3數字取證的技術標準與規範12
1.3.1國家標準12
1.3.2行業標準12
1.3.3國際標準14
1.4數字取證的現狀與發展15
1.4.1數字取證的歷史與發展15
1.4.2數字取證的趨勢與挑戰16
1.5習題與作業19
本章參考文獻19
第2章數字取證基礎22
2.1常見的數字設備22
2.1.1計算機22
2.1.2服務器22
2.1.3存儲設備23
2.1.4移動終端25
2.1.5視頻監控設備26
2.2數據的存儲26
2.2.1進制26
2.2.2字節順序27數字取證目錄2.2.3數據的分類27
2.2.4數據的編碼28
2.3數據的過濾28
2.3.1基於文件名過濾29
2.3.2基於文件類型過濾29
2.3.3基於文件屬性過濾30
2.4數據的搜索31
2.4.1物理搜索31
2.4.2邏輯搜索31
2.4.3索引搜索32
2.4.4正則表達式32
2.5習題與作業33
本章參考文獻33
第3章電子數據的封存、固定和提取34
3.1電子數據的封存34
3.2電子數據的固定35
3.2.1數據固定工具35
3.2.2鏡像文件的格式37
3.3電子數據的提取38
3.3.1在線數據39
3.3.2易失性數據39
3.3.3非易失性數據40
3.4電子數據的校驗40
3.4.1哈希算法40
3.4.2哈希踫撞41
3.4.3哈希庫41
3.5習題與作業42
本章參考文獻43
第4章文件繫統與數據恢復44
4.1硬盤概述44
4.1.1硬盤結構44
4.1.2MBR分區46
4.1.3GPT分區47
4.2NTFS49
4.2.1NTFS概述49
4.2.2MFT51
4.3數據恢復56
4.3.1分區恢復56
4.3.2基於文件繫統的數據恢復57
4.3.3基於文件簽名的數據恢復59
4.4習題與作業60
本章參考文獻60
第5章Windows取證61
5.1重要的痕跡文件61
5.1.1卷影復制61
5.1.2回收站62
5.1.3縮略圖63
5.1.4快捷方式64
5.1.5跳轉列表65
5.1.6預讀取67
5.1.7遠程桌面緩存68
5.1.8活動歷史記錄68
5.1.9通知中心69
5.2注冊表70
5.2.1注冊表結構71
5.2.2注冊表根鍵72
5.2.3注冊表75
5.2.4繫統信息75
5.2.5應用程序信息78
5.2.6用戶信息78
5.2.7USB設備使用痕跡78
5.2.8MRU79
5.2.9ShellBags80
5.2.10AutoRun81
5.2.11Amcache與Shimcache81
5.3事件日志82
5.3.1事件日志概述82
5.3.2安全日志: 賬戶和登錄84
5.3.3RDP登錄日志86
5.3.4USB設備和分區診斷日志86
5.4內存取證88
5.4.1內存取證概述88
5.4.2Volatility88
5.4.3Redline92
5.5習題與作業92
本章參考文獻92
第6章Linux取證94
6.1Linux取證基礎94
6.1.1Linux發行版94
6.1.2Linux常用命令 96
6.1.3磁盤設備信息98
6.2冗餘磁盤陣列99
6.2.1RAID的基本概念100
6.2.2常見的RAID級別101
6.2.3RAID重組的方法104
6.3邏輯卷管理器105
6.4Linux文件繫統107
6.4.1Ext4107
6.4.2XFS109
6.4.3Btrfs109
6.4.4FHS110
6.5Linux取證分析112
6.5.1繫統配置112
6.5.2用戶痕跡113
6.5.3日志文件113
6.6習題與作業114
本章參考文獻114
第7章macOS取證116
7.1macOS取證基礎116
7.1.1macOS概述117
7.1.2macOS安全機制118
7.2macOS數據的獲取118
7.2.1在線數據提取118
7.2.2離線數據固定119
7.2.3時間機器備份120
7.2.4備份數據解析120
7.3macOS特有的數據121
7.3.1鑰匙圈121
7.3.2Plist文件122
7.3.3FSEvents123
7.3.4DS_Stores123
7.3.5Spotlight123
7.3.6應用程序包124
7.4macOS取證分析125
7.4.1繫統信息125
7.4.2用戶信息126
7.4.3用戶行為126
7.5習題與作業128
本章參考文獻128
第8章Android取證129
8.1Android取證基礎129
8.1.1Android繫統的發展129
8.1.2Android繫統的架構130
8.1.3Android安全與加密133
8.2Root權限的獲取與鎖屏密碼的破解137
8.2.1Fastboot模式139
8.2.2解鎖BootLoader139
8.2.3Recovery模式140
8.2.4刷入TWRP140
8.2.5使用SuperSU獲取Root權限143
8.2.6破解Android設備的鎖屏密碼143
8.3Android設備數據的獲取與分析144
8.3.1拍攝取證145
8.3.2邏輯采集145
8.3.3物理采集147
8.3.4雲數據取證148
8.3.5Android數據的分區結構148
8.4Android設備的取證分析150
8.4.1繫統應用痕跡150
8.4.2第三方應用痕跡150
8.4.3APK逆向分析151
8.5習題與作業155
本章參考文獻155
第9章iOS取證156
9.1iOS取證基礎156
9.1.1iOS繫統的發展156
9.1.2iOS繫統的架構157
9.2iOS文件繫統157
9.2.1HFS和APFS157
9.2.2iOS標準目錄158
9.3iOS安全機制160
9.3.1安全啟動160
9.3.2操作模式160
9.3.3鎖屏密碼161
9.3.4Checkm8攻擊與“越獄”161
9.4加密和數據保護162
9.4.1安全隔離區163
9.4.2數據保護概述165
9.4.3iOS中數據保護的實現165
9.5iOS設備數據的采集與解析167
9.5.1拍攝采集167
9.5.2物理采集167
9.5.3邏輯采集167
9.5.4iTunes備份的解析168
9.5.5iCloud數據采集169
9.6iOS設備的取證分析170
9.6.1繫統痕跡170
9.6.2應用痕跡172
9.7習題與作業173
本章參考文獻173
第10章互聯網應用程序取證175
10.1雲數據取證175
10.1.1百度網盤175
10.1.2Google Takeout177
10.2即時通信取證178
10.3電子郵件取證179
10.3.1電子郵件取證概述180
10.3.2電子郵件的來源181
10.3.3常見的電子郵件文件格式181
10.3.4電子郵件內容的解析182
10.4網頁瀏覽器取證183
10.4.1Google Chrome取證183
10.4.2Mozilla Firefox取證185
10.4.3Internet Explorer取證186
10.5習題與作業187
本章參考文獻187
第11章高級數字取證188
11.1區塊鏈與數字貨幣取證188
11.1.1區塊鏈188
11.1.2數字貨幣189
11.2物聯網設備取證191
11.2.1物聯網取證概述191
11.2.2路由器192
11.2.3智能音箱193
11.2.4智能穿戴設備193
11.2.5無人機194
11.2.6其他設備195
11.3汽車取證195
11.3.1車聯網與智能汽車195
11.3.2汽車取證探索196
11.4暗網取證197
11.4.1暗網概述197
11.4.2暗網加密技術198
11.4.3暗網瀏覽方式199
11.4.4暗網取證思路199
11.5習題與作業200
本章參考文獻201
第12章數字取證的挑戰202
12.1加密與解密202
12.2數據隱藏205
12.3數據擦除207
12.4線索混淆208
12.5習題與作業209
本章參考文獻209