第1章數字取證概述1
1.1數字取證與電子數據證據1
1.1.1數字取證的概念1
1.1.2電子數據作為證據2
1.1.3電子數據的證據效力、證據力、證明力和質證3
1.1.4電子數據司法鋻定4
1.2數字取證的實施5
1.2.1數字取證的原則5
1.2.2數字取證的模型6
1.2.3數字取證的實施8
1.3數字取證的技術標準與規範12
1.3.1國家標準12
1.3.2行業標準12
1.3.3國際標準14
1.4數字取證的現狀與發展15
1.4.1數字取證的歷史與發展15
1.4.2數字取證的趨勢與挑戰16
1.5習題與作業19
本章參考文獻19

第2章數字取證基礎22
2.1常見的數字設備22
2.1.1計算機22
2.1.2服務器22
2.1.3存儲設備23
2.1.4移動終端25
2.1.5視頻監控設備26
2.2數據的存儲26
2.2.1進制26
2.2.2字節順序27數字取證目錄2.2.3數據的分類27
2.2.4數據的編碼28
2.3數據的過濾28
2.3.1基於文件名過濾29
2.3.2基於文件類型過濾29
2.3.3基於文件屬性過濾30
2.4數據的搜索31
2.4.1物理搜索31
2.4.2邏輯搜索31
2.4.3索引搜索32
2.4.4正則表達式32
2.5習題與作業33
本章參考文獻33

第3章電子數據的封存、固定和提取34
3.1電子數據的封存34
3.2電子數據的固定35
3.2.1數據固定工具35
3.2.2鏡像文件的格式37
3.3電子數據的提取38
3.3.1在線數據39
3.3.2易失性數據39
3.3.3非易失性數據40
3.4電子數據的校驗40
3.4.1哈希算法40
3.4.2哈希踫撞41
3.4.3哈希庫41
3.5習題與作業42
本章參考文獻43

第4章文件繫統與數據恢復44
4.1硬盤概述44
4.1.1硬盤結構44
4.1.2MBR分區46
4.1.3GPT分區47
4.2NTFS49
4.2.1NTFS概述49
4.2.2MFT51
4.3數據恢復56
4.3.1分區恢復56
4.3.2基於文件繫統的數據恢復57
4.3.3基於文件簽名的數據恢復59
4.4習題與作業60
本章參考文獻60

第5章Windows取證61
5.1重要的痕跡文件61
5.1.1卷影復制61
5.1.2回收站62
5.1.3縮略圖63
5.1.4快捷方式64
5.1.5跳轉列表65
5.1.6預讀取67
5.1.7遠程桌面緩存68
5.1.8活動歷史記錄68
5.1.9通知中心69
5.2注冊表70
5.2.1注冊表結構71
5.2.2注冊表根鍵72
5.2.3注冊表75
5.2.4繫統信息75
5.2.5應用程序信息78
5.2.6用戶信息78
5.2.7USB設備使用痕跡78
5.2.8MRU79
5.2.9ShellBags80
5.2.10AutoRun81
5.2.11Amcache與Shimcache81
5.3事件日志82
5.3.1事件日志概述82
5.3.2安全日志： 賬戶和登錄84
5.3.3RDP登錄日志86
5.3.4USB設備和分區診斷日志86
5.4內存取證88
5.4.1內存取證概述88
5.4.2Volatility88
5.4.3Redline92
5.5習題與作業92
本章參考文獻92

第6章Linux取證94
6.1Linux取證基礎94
6.1.1Linux發行版94
6.1.2Linux常用命令 96
6.1.3磁盤設備信息98
6.2冗餘磁盤陣列99
6.2.1RAID的基本概念100
6.2.2常見的RAID級別101
6.2.3RAID重組的方法104
6.3邏輯卷管理器105
6.4Linux文件繫統107
6.4.1Ext4107
6.4.2XFS109
6.4.3Btrfs109
6.4.4FHS110
6.5Linux取證分析112
6.5.1繫統配置112
6.5.2用戶痕跡113
6.5.3日志文件113
6.6習題與作業114
本章參考文獻114

第7章macOS取證116
7.1macOS取證基礎116
7.1.1macOS概述117
7.1.2macOS安全機制118
7.2macOS數據的獲取118
7.2.1在線數據提取118
7.2.2離線數據固定119
7.2.3時間機器備份120
7.2.4備份數據解析120
7.3macOS特有的數據121
7.3.1鑰匙圈121
7.3.2Plist文件122
7.3.3FSEvents123
7.3.4DS_Stores123
7.3.5Spotlight123
7.3.6應用程序包124
7.4macOS取證分析125
7.4.1繫統信息125
7.4.2用戶信息126
7.4.3用戶行為126
7.5習題與作業128
本章參考文獻128

第8章Android取證129
8.1Android取證基礎129
8.1.1Android繫統的發展129
8.1.2Android繫統的架構130
8.1.3Android安全與加密133
8.2Root權限的獲取與鎖屏密碼的破解137
8.2.1Fastboot模式139
8.2.2解鎖BootLoader139
8.2.3Recovery模式140
8.2.4刷入TWRP140
8.2.5使用SuperSU獲取Root權限143
8.2.6破解Android設備的鎖屏密碼143
8.3Android設備數據的獲取與分析144
8.3.1拍攝取證145
8.3.2邏輯采集145
8.3.3物理采集147
8.3.4雲數據取證148
8.3.5Android數據的分區結構148
8.4Android設備的取證分析150
8.4.1繫統應用痕跡150
8.4.2第三方應用痕跡150
8.4.3APK逆向分析151
8.5習題與作業155
本章參考文獻155

第9章iOS取證156
9.1iOS取證基礎156
9.1.1iOS繫統的發展156
9.1.2iOS繫統的架構157
9.2iOS文件繫統157
9.2.1HFS和APFS157
9.2.2iOS標準目錄158
9.3iOS安全機制160
9.3.1安全啟動160
9.3.2操作模式160
9.3.3鎖屏密碼161
9.3.4Checkm8攻擊與“越獄”161
9.4加密和數據保護162
9.4.1安全隔離區163
9.4.2數據保護概述165
9.4.3iOS中數據保護的實現165
9.5iOS設備數據的采集與解析167
9.5.1拍攝采集167
9.5.2物理采集167
9.5.3邏輯采集167
9.5.4iTunes備份的解析168
9.5.5iCloud數據采集169
9.6iOS設備的取證分析170
9.6.1繫統痕跡170
9.6.2應用痕跡172
9.7習題與作業173
本章參考文獻173

第10章互聯網應用程序取證175
10.1雲數據取證175
10.1.1百度網盤175
10.1.2Google Takeout177
10.2即時通信取證178
10.3電子郵件取證179
10.3.1電子郵件取證概述180
10.3.2電子郵件的來源181
10.3.3常見的電子郵件文件格式181
10.3.4電子郵件內容的解析182
10.4網頁瀏覽器取證183
10.4.1Google Chrome取證183
10.4.2Mozilla Firefox取證185
10.4.3Internet Explorer取證186
10.5習題與作業187
本章參考文獻187

第11章高級數字取證188
11.1區塊鏈與數字貨幣取證188
11.1.1區塊鏈188
11.1.2數字貨幣189
11.2物聯網設備取證191
11.2.1物聯網取證概述191
11.2.2路由器192
11.2.3智能音箱193
11.2.4智能穿戴設備193
11.2.5無人機194
11.2.6其他設備195
11.3汽車取證195
11.3.1車聯網與智能汽車195
11.3.2汽車取證探索196
11.4暗網取證197
11.4.1暗網概述197
11.4.2暗網加密技術198
11.4.3暗網瀏覽方式199
11.4.4暗網取證思路199
11.5習題與作業200
本章參考文獻201

第12章數字取證的挑戰202
12.1加密與解密202
12.2數據隱藏205
12.3數據擦除207
12.4線索混淆208
12.5習題與作業209
本章參考文獻209

隨著大數據、互聯網、人工智能時代的到來，以數字化、網絡化、智能化為主要特征的創新浪潮一浪高過一浪，現代科技正在推動社會變革和進步，同時也深刻影響著司法辦案的模式、證據類型和證據規則。當前利用信息技術進行的犯罪急劇增加，為了適應打擊新型犯罪的需要，提升司法人員的電子數據取證能力勢在必行。網絡空間安全專業致力於培養在“互聯網 ”時代能夠支撐國家網絡空間安全領域，具有較強的工程實踐能力，繫統掌握網絡空間安全的基本理論和關鍵技術，能夠在網絡空間安全產業以及其他國民經濟部門從事各類與網絡空間相關的軟硬件開發、繫統設計與分析、網絡空間安全規劃管理等工作，具有強烈的社會責任感與使命感、寬廣的國際視野、勇於探索的創新精神與實踐能力的撥尖創新人纔和行業高級工程人纔。
武漢大學國家網絡安全學院於2018年開設了“數字取證” 課程，一直在研究並探索如何培養高水平的網絡安全人纔。隨著課程的不斷完善，我們發現，數字取證作為一門實用技術能夠有效幫助網絡空間安全專業學生開闊眼界，補充必要的專業知識。但在實際教學中我們也發現，國內適用的數字取證圖書較少，適合高校使用的教材則更少。為此，我們聯合了國內知名專家和學者聯合編寫了本書。本書彙集了數字取證的基本概念、基本理論、工作原理和基本方法，繫統、全面地介紹了不同文件繫統的取證分析方法以及內存、日志、移動終端、惡意代碼的取證分析方法。本書融合了近年國內外電子數據取證理論和實踐的最新成果，全面介紹了國內外主流的電子數據取證技術。本書緊密結合電子數據取證工作實際，既考慮了電子數據取證的知識體繫，又反映了學習和取證實踐的規律，按照理論和技術並重的編寫思路，深入淺出地講解數字取證的基本原理，結合電子數據取證實踐性強的特點，通過實際的案例分析和練習將理論與實踐聯繫起來，幫助學生更好地學習和掌握數字取證知識。
本書由武漢大學陳晶、何琨、郭永健以及湖北警官學院張俊、朱勇宇共同編著。其中朱勇宇起草並核對了核心章節，對本書的問世起到了重要作用。同時，在本書的編寫過程中，皮浩、胡玄宇、夏曉光、謝明聰、胡力和、魏智煌、金恆源、彭詩雨、陳裕銘等給予了支持和幫助，他們為本書第2、3、7、11、12章提供了內容和素材。
本書在籌備和編寫過程中，得到公安部應用創新計劃項目（2021YY26），湖北警官學院揭榜掛帥2022服務公安實戰專項——電子取證及可信應用湖北省協同創新中心項目（2022AD003），湖北省高校人文社會科學重點研究基地社會治安治理研究中心項目（2019A005）的支持。
本書是一本理論與實踐相結合的圖書，僅有理論內容無法培養出具有實戰能力的數字取證人纔。武漢大學國家網絡安全學院經過5年的教學實踐，采用校企聯合方式開發了數字取證實驗課程虛擬教學環境，利用豐富的教學案例和實驗工具配合數字取證理論課程。為配合本書的理論教學，本書作者還有針對性地設計了8學時、16學時、32學時和48學時的實驗課程，並配有虛擬教學實驗環境下的數字取證實驗指導手冊，每一章的教學都有相應的虛擬教學實驗題目和實驗指導手冊。在數字取證實驗教學中，由於所有學生都有相同的練習環境，授課教師可以很好地進行學習進度控制和實驗分數彙總。相信通過配合豐富的數字取證實驗內容，學生收獲的不僅僅是單純的數字取證理論知識，也會在實踐和動手能力上有顯著提升。
本書配套的教學課件、實驗案例和實驗指導手冊可向開設數字取證選修課程或必修課程的大學提供，有需要的老師請聯繫清華大學出版社。

作者 2023年6月