本書全面繫統地介紹了電子數據取證技術，涉及電子數據取證基本理論、技術和應用，不僅闡述了電子數據取證的概念、規範和取證技術基礎等內容，涵蓋了Windows作繫統、Linux作繫統、UNIX作繫統、macOS作繫統、iOS作繫統、Android作繫統、網絡和互聯網取證、應用繫統取證等常見領域取證技術，還較為詳細地介紹了區塊鏈取證、雲取證和智能繫統取證等新興領域取證技術。本書結合相關理論基礎和技術的應用，給出了若干電子數據取證實務案例，內容通俗易懂，便於讀者學/p>

本書適合作為網絡空間、信息、計算機科學與技術、通信、技術、法學與學等相關學科專業本科和研究生的教材，亦可供高校教師，相關科研、技術和管理人員，以及司律等領域工作者參考和使用，還適合作為電子數據取證從業人員或相關人員的基礎級入門教材。

第1童 電子數據現證板述

1.1電於數據與電子數據證擺

1L.1.1電子數超的概念

L.1.2電子數據證據的概念

1.1.3電子數據證據的特點

1.2電子數摳取證

1.2.1電子數據取證的概念

1.2.2電子數據取證的原則

1.2.3電子數據取證面臨的問題與發展

第2章電子數據取證規範

21電子數握取證技術標準

2.1.1國際技術標準

2.1.2 國家技術標準

2.1.3行業技術標準

22電子數據取證程序

啟動階段

2.2.1

2.22現場保護與勘查階段

2.2.3電子數據獲取與固定階段

2.2.4電子數據分析與檢驗階段

2.2.5 評估階段

2.2.6證據保管、移交與展示階段

2.3電子數據取證工具

根據工具的可靠行分類

2.3.1

2.3.2根據工行分類

2.3.3根據應用場景分類

2.4電子數據取證方法

2.4.1取證方法概述

2.4.2取證方法分類

2.5電子數據取證實驗室

2.5.1電子數據取證實驗室的重要性……26

2.5.2.電子數據取證實驗室的認可體繫.…27

2.5.3 電子數據取證實驗室的質量控制.….….32

第3章取證技術基礎

3.1存儲基礎…

3.1.1存儲原理

3.12存儲繫統結構

3.13存儲設備

3.2文件繫統及編碼

3.2.1文件繫統。

3.2.2編碼與解媽

3.3彩意代碼分析基礎

懇意代碼簡介

惡意代碼的分類

3.3.3彩意代碼的分析原理

第4章 Windows 作繫統取證技術

4.1 Windows 日志取證技術

4.1.1Windows事件日老

NTFS 日志

4.1.2

IIS 日志

4.1.3

4.1.4其他日志

4.2 Windows 注冊表取證技術

Windows 注冊表簡介

4.2.1

4.2.2 Windows 注冊表取證分析

4.3 Windows 內存取證技術

Windows 內存簡介4.3.1

Windows 內存取證方法和

4.3.2

分析技術

Windows 其他取證技術

4.4

瀏覽器取證分析

4.4.1

脫機打印信息分析

4.4.2

跳轉列表分析

4.4.3

訪問信息分析

4.4.4

可執行文件分析

4.4.5

第5章 UNIX/Linux作繫統取證技術

UNIX/Linux 作繫統的特點與

5.1

常見類型

UNIX 作繫統的特點與

5.1.1

常見類型.

Linux作繫統的特點與

5.1.2

常見類型

5.2 UNIX/Linux 作繫線取證

5.2.1 Linux 文件繫統層次休繫與

常見目錄結構

5.2.2 Linux文件繫統的特點與取證..117

5.2.3 Linux 日志文件的特點與取證 ..120

5.2.4

Linux 網絡信息分析

Linux 內存信息分析

5.2.5

5.2.6其他信息源分析

第6章 macOS作繫統取證技術

6.l macOS作繫統

6.1.1 macOS作繫統的特點

6.1.2不同版本macOS的美

6.1.3 macOS取證主要信息源

6.2macOS繫統取證

6.2.1 macOS支持的文件繫統及特點.…148

6.2.2

macOs日志文件、配置文件

分析

6.2.3

macOS網絡信息分析

macOS瀏覽器信息分析

6.2.4

macOS郵件客戶端信息分析6.2.5

6.2.6其他信息源分析

第7章iOS作繫統取證技術

7.1iOS作繫統取證概述

7.1.1 iPhone手機的發展

iOS作繫統簡介

7.1.2

7.1.3

備份文件取證

7.1.4

邏輯取證

7:1.5

物理取證

7.2 iOS作繫統常見邏輯數據提取

分析

7.2.1短消息的提取和分析

7.2.2通話記錄的提取和分析

7.2.3聯繫人信息的提取和分析.

7.2.4瀏覽器歷史記錄的提取和分析.169

郵件客戶端信息的提取和分析…1717.2.5

位置信息的提取和分析..7.2.6

7.2.7

其他信息源分析.

7.3 iPhone備份文件的取證

7.3.1備份文件的結構與分析

7.3.2備份文件數據的破解和

提取分析

第B章 Androld 作繫統取證技術

8.1 Android智能手機取證概述

8.1.1 Android概況及發展歷程

8.1.2 常見Android 手機廠商及

繫統特點

8.1.3 Androi能特點

138

8.1.4 Android 取證準備工作

8.1.5 Android 作繫統邏輯數據提取…187

Android作繫統常見邏輯數據8.2

提取分析

短信息/彩信的提取和分析

8.2.1

822通話記錄的提取和分析

8.2.3聯繫人信息的提取和分析

8.2.4瀏覽器歷史記錄的提取和分析

8.2.5郵件客戶端信息的提取和分析

8.2.6微信數據的提取和分析

8.3 Android密碼繞過與物理取證

8.3.1 獲取root權限

8.3.2

繞過Android設備密碼

Android物理鏡像提取

8.3.3

8.3.4獲取 Android外置存儲設備

鏡像

8.3.5Android物理鏡像分析

8.3.6 Android數據恢復

第9章網絡取證技術

9.1網絡取證概述

9.1.1網絡取證的特殊性

9.1.2常見網絡協議介紹

9.1.3網絡取證的數據來源

9.2網絡實時取證與分析.

9.2.1數獲取方法和途徑

9.2.2數分析的工具

9.3網絡非實時取證與分析

9.3.1網絡追蹤與網絡行為分析

9.3.2P2P技術在網絡犯罪中的應用

第10章應用繫統取證技術

偽基站繫統取證技術

10.1

10.1.1GSM簡介

10.1.2GSM中的鋻權、加密及解密……260

10.1.3GSM的性

10.1.4偽基站的危害

10.1.5偽基站的原理和取證

P2P繫統取證技術

10.2

P2P簡介.

10.2.1

繫統的結構，

10.2.2

10.2.3

P2P繫統取證

10.3賭博取證技術

賭博簡介

10.3.1

網絡賭博產業鏈10.3.2

10.3.3賭博頁面取證

第11章其他取證技術

11.1區塊鏈取證技術

區塊鏈簡介

11.1.1

11.1.2區塊鏈取證要點

11.2雲計算取證技術

11.2.1 雲計算簡介

11.2.2雲計算取證要點

11.3智能繫統取證技術

智能繫統取證簡介

11.3.1

智能繫統取證要點.

11.3.2

智能繫統取證內容

11.3.3

第12章 電子數據取證綜合案例分析

12.1案情簡介

主要案情

12.1.1

取證要求

12.1.2

主要難點問題

12.1.3

12.2案件的證據固定

了解被入侵服務器的相關

12.2.1

參數及運行狀態.

12.2.2制訂證據固定計劃

選擇證據固定工具

12.2.3

連接到遠程服務器

12.2.4

固定所有用戶歷史執行記錄.

12.2.5

固定繫統時間

12.2.6

固程信息

12.2.7

固定網絡連接信息

12.2.8

12.2.9固定磁盤信息

固定網卡信息

12.2.10

固定用戶信息

12.2.11

固定用戶登錄日志信息

12.2.12

固定 Apache 應用數據

12.2.13

固定Apache 日志

12.2.14

固定數據庫，

12.2.15

固定數據庫日志

12.2.16

12.3數據分析過程

12.3.程分析，

分析網絡連接

12.3.2

分析啟動項

12.3.3

分析登錄日志

12.3.4

分析錯誤登錄日志

12.3.5

分析 Web.

12.3.6

分析 Web日志，

分析數據庫

12.3.8

數據庫Binlog 日志轉換.….

12.3.9

用戶id為2613的用戶作

12.3.10

日志分析…

用戶id為1679用戶作

12.3.11

日志分析

數據庫日志分析

12.3.12

12.4分析漏洞原因..

12.5調查結果與評價

參考文獻，

隨著計算機技術的不步和發展，信息技術與人們生活的關繫越來越緊密，應用越來越廣泛，電子數據成為社會生活的重要組成部分。無論政府機關，公司。組織還是個人，都越來越依賴於信息技術和電子數據。而人們在享受高科技帶來的便利時，也面臨著各種利用網絡技術實施危害人身、社會乃至國家的犯罪的威脅。在這個數字化的中，隨著人們日常法動的誹行，每時每刻都合產生新的申子豹據，數據量正在以極快的速度呈指數級增長，網上購物、線上轉賬、瀏覽網頁、在線聊天等行為都會在手機。計算機中留下痕跡，這就導致越來越多的犯罪中涉及電子數據年來，涉及信息技術的新型犯罪，如非法侵入計算機繫統、非法獲取計算機信息繫統數據，侵犯個人信息、破壞計算機信息繫統、組傳銷活動等犯罪呈現出逐年增長的趨勢；同時，一些傳統犯罪也廣泛涉及電子數據，如故意傷害的案例中也會出現犯罪嫌疑人通過社交軟件溝通，在手機或計算機中留下證據的情形。為了適應這類案件的訴訟需求，要求偵查人員或相關技術人員有能力對電子數行取證，電子數據取證逐漸成為偵查或調查環節中不可或缺的一部分，偵查人員也面臨著巨大的挑戰。

法諺有雲：“在法庭上，隻有證據，沒有事實。沒有證據的事實不是事實。”可見，對於打擊犯罪而言，證據的獲取是前提和保證。在信息社會，對於信息技術犯罪而言，電子數據取證尤為重要。電子數據取證技術是打擊犯罪的根本保障，是維護法治社會發展的重要基礎，是實現國家治理體繫和治理能力現代化的必然要求。目前，在我國的司法實踐中，傳統的取證和司法鋻定技術，如指紋鋻定、DNA鋻定、筆跡鋻定等都已趨於成熟，但是鋻於電子數據取證具有技術依賴性、隱蔽性、易破壞性的特點，目前依然是信息技術領域犯罪案件偵破過程中的。

在第三十六次集體學調：當今，網絡信息技術日新月異，全面融入社會生產生活，深刻改變著全球經濟格局、利益格局、格局。主要國家都把互聯網作為經濟發展、技術創新的，把互聯網作為謀求競爭新優勢的戰略方向。雖然我國網絡信息技術和網絡保障取得了不小成績，但同相比還有很大差距。我們要統一思想、提高認識，加強戰略規劃和統籌，加快各項工作。電子數據取證作為計算機學科和法學學科的交叉領域，各國都投入了大量的人力、物力、財力對行深入研究。在我國，這方面的研究仍處於研究和發展的初期，需要大量的專業性人纔為該領域的發展做出貢獻。因此，編寫一本適合電子數據取證從業人員或希望從事該行業的人員使用的教材是有必要的。

本書內容側重於電子數據取證，較全面地闡述各種環境和應用的電子數據取證技術。

與現有同類教材相比，本書更加側重於知識結和歸納，更重視理論和實踐相結合。

本書具有以下特點。

本書內容新穎，不僅介紹了傳統的電子數據取證相關領域的技術，同時還介紹了區塊

(1)新穎性。

鏈取證技術、雲取證技術、智能繫統取證技術等新興領域，有利於讀者了解當前電子數據取證領域的前沿知識，全面認識計算機司法鋻定的體繫和體繫架構。（2）交叉性。

本書參考了國內外學者的相關研究資料，將電子數據取證中涉及的法學領域的相關知識與計算機領域的技術做了有機融合，有助於培養計算機與法學的復合型人纔，滿足當偷司法實踐對於專業復合型人纔的迫切需求。

(3)實踐性。

本書理論與實踐相結合含了大量實踐作內容，具有很強的作實踐性。第12章通過一個綜合案例使讀者了解電子數據取證的全過程，有利於提高學生的學，符

合辦案實踐中對專業人纔的具體要求。

王水全、廖根為擔任本書主編，並擬定編寫大綱，負責全書設計、統稿、增刪修正、

校對和完善。本書作者及其編寫分工為：第1章由郭弘編寫：第2章由趙帥、王永全、彥

根為共同編寫；第3章由劉浩陽編寫；第4章由徐志強編寫；第5章由廖根為、趙帥、王

水全共同編寫：第6章由王永全、陸道宏、瀋永安、廖根為共同編寫；第7章由陸道宏、

瀋水安共同編寫；第8章由孫奕、郭弘共同編寫；第9章由吳堅、廖根為共同編寫；第

0章由陸道宏、瀋永安共同編寫；第11章由王永全、陸道宏、瀋永安共同編寫：第12章

由瀋永安編寫。

在撰寫本書過程中，陸璟妍、趙子玉和諸珺文等在資料收集、校對與實驗驗證等方面

做了相關工作，在此予以感謝！

由於計算機信息技術是不斷發展的，加之編者有限，書中可能還存在欠妥之處，

懇請專家和廣大讀者不吝指正

編者

2020年10月

第1章電子數據取證概述

本章內容：電子數據的基本概念、電子數據證據的特點以及從不同角度對電子數據取證的理解。

本章學：通過本章的學握電子數據和電子數據取證的基本概念，理解電子數據的表現形式及分類，理解電子數據證據的特點及電子數據取證的意義與發展。

1.1電子數據與電子數據證據

隨著互聯網的快速發展，是我國國民經濟和社會信息化建程的全面加快，計算機和互聯網已經成為人們日常生活、工作的重要組成部分。與此同時，我國正面臨著復雜嚴峻的網絡形勢：一是針對互聯網的犯罪日益猖獗，當前我國已經成為黑客攻擊破壞的主要受害國之一；二是網絡賭博、網絡傳播情、網絡銷售違禁品、網上販賣個人信息等利用互聯網的違法犯罪形勢嚴峻，嚴重污染了網絡環境，擾亂了網絡秩序；三是違法犯罪+互聯網的趨勢日益凸顯，大量違法犯罪的準備和實施均借助網絡技術而實現，技術門檻和犯罪成降低，犯罪規模和危害程度急劇擴大，犯罪分工更加精細，犯罪手法更加復雜；四是利用網絡制作傳播恐怖音頻、，大肆宣揚恐怖和思想，煽動實施恐怖活動，傳授暴恐犯罪技能。

隨著各類組織的運轉以及通信、運輸、金融、電商業、能源等社會經濟活動對信息網絡的依賴不斷加深，與之相伴的網絡違法犯罪也不斷增多。打擊網絡犯罪，保障信息，網絡的有序發展已經成為我國機關面臨的一個重大挑戰。

由於網絡空間的虛擬性，網絡犯罪行為留下的通常為電子數據，因此，電子數據在整治打擊各類網絡違法犯罪，打擊網絡恐怖主義，加強國際合作等方面均具有重要的意義。隨著互聯網和計算機技術的發展與普及應用，很多刑事司法活動也會涉及電子數據，電子數據的收集提取和審查判斷，已經成為刑事司法實踐活動的基礎性、普遍性工作。

1.1.1電子數據的概念

電子數據是指在計算機繫統中產生的、或存儲於計算機或相關設備中的以數字化形式存在的數據。電子數據符合法律規定的條件便可成為訴訟中的證據。雖然電子數據最終以數字化形式存在，但其信息呈現方式多種多樣。常見的電子數據有：通過網頁、博客、微博、朋友圈、貼吧、網盤等網臺發布的數據信息；手機短信、電子郵件、即時通訊、通訊群組等網絡應用服務的通信信息；用戶注冊信息、身份認證信息、電子交易記錄、通……