.png)
计算机取证
未读
【电子取证篇】USB软只读软件
本文介绍了两款免安装的USB只读软件：Removable Access Tool和usbblock，适用于Windows 11专业工作站版。Removable Access Tool（Ratool）是一个便携式免费软件，可以控制外部存储设备如USB闪存驱动器、CD/DVD驱动器等，支持允许读取和写入（默认）、允许只读、阻止USB存储设备以及更细致的控制选项。usbblock则是一款2005年的工具，操作更为简单，只需切换模式并重新插拔USB设备即可实现只读功能。文章还提到可以通过修改注册表或使用CMD命令来设置USB只读，并推荐了其他取证工具如FTK和WinHex。读者可通过公众号回复关键词【只读锁】获取资源合集。
汽车取证
未读
【汽车取证篇】《道路交通事故处理程序规定》（征求意见稿），明确汽车电子数据调取权限
《道路交通事故处理程序规定》（征求意见稿）明确了汽车电子数据调取权限，为案件调查提供了更全面的数据支持。随着汽车智能化和信息化的发展，行车监控视频、EDR、VDR、T-Box等设备记录的电子数据成为事故调查的重要依据。公安机关交通管理部门可根据需要调取与事故相关的车载数据记录装置和其他证据材料，使车载数据从“辅助参考”升级为“电子数据证人”。这一措施不仅提升了数据获取的合法性，还提高了事故责任认定的准确性，有助于还原事实真相。文章强调了在取证过程中固定提取电子数据的重要性，并指出无论数据存储于何处，其核心都是为了准确还原案件事实。
Windows取证
未读
【Windows取证篇】Windows禁用驱动程序签名教程
本文介绍了在Windows 11专业工作站版22H2中禁用驱动程序签名的步骤，主要解决驱动安装失败的问题，如手机驱动安装时遇到的情况。通过进入高级启动选项（系统-恢复-高级选项-高级启动），用户可以找到并选择“疑难解答”->“高级选项”->“启动设置”，在此过程中选择F7键（部分机型可能是F5）来禁用驱动程序强制签名功能。文章提供了详细的图文指导，并指出操作步骤可能因具体设备而略有差异。此教程由[蘇小沐]编写，旨在为用户提供帮助，并欢迎读者对内容提出改进建议。
Windows取证
未读
【Windows取证篇】压缩包骗局，来自定制客户的计算机木马分析与TG黑灰产浅谈
本文详细分析了一起通过压缩包传播的计算机木马病毒案例，该病毒以"xxx舞蹈.zip"的形式发送给商家，解压后得到"xxx自动转换.CHM"文件。静态和动态分析显示，该CHM文件内含恶意JavaScript脚本，能够执行一系列高危行为，如修改用户外壳文件夹、获取敏感系统权限、自动关闭电脑等，并且尝试与远程服务器通信。此外，文章还探讨了Telegram（TG）平台上的黑灰产业链，揭示了病毒文件的来源及其背后的运作模式。最后，作者提出了一些防范建议，包括提高安全意识、谨慎处理外部文件以及保留证据及时报警等措施。
Windows取证
未读
【Windows取证篇】Windows镜像仿真绕过开机密码技巧
本文介绍了如何使用镜像仿真技术绕过Windows系统的开机密码，特别是在电子取证场景中。作者首先说明了通过替换系统镜像来破解密码的不足之处，并推荐了一种更为简便的方法：利用PE工具制作ISO镜像文件，并通过设置虚拟机从光驱启动来加载该工具，从而实现密码绕过。文中详细讲述了如何在VMware 16 pro中添加ISO镜像、进入BIOS设置光驱启动优先级以及具体步骤以实现密码绕过和自动重启进入操作系统。最后提醒读者根据实际情况选择合适的密码处理方式（绕过、修改或移除），并提供了相关软件资源下载链接。
Windows取证
未读
【Windows取证篇】Windows便笺数据浅析-取证分析时容易忽略的重要数据
本文介绍了Windows便笺数据的取证分析方法，强调了在取证过程中容易被忽略但重要的数据。文章首先概述了实验环境，包括使用的操作系统版本、便笺版本及相关工具等。接着详细说明了便笺数据在不同Windows系统版本中的存储位置及其文件名，并提供了两种快速定位这些文件的方法：使用搜索软件或运行窗口命令。此外，文章还介绍了如何利用SQLiteStudio这一开源工具来可视化管理和分析便笺数据库中的信息，特别是文本内容和格式设置。最后，讨论了便笺数据恢复与导出的基本步骤及注意事项，提醒读者注意数据备份的重要性。
镜像取证
未读
【镜像取证篇】FTK Imager中文设置教程
本文介绍了如何将FTK Imager这款镜像取证工具的界面切换为中文。由于该软件默认不支持语言切换，作者提供了一种通过修改Windows注册表来实现中文化的方法。具体步骤包括：创建一个新的文本文件，在其中写入特定的注册表编辑代码，将文件后缀改为.reg并双击运行以应用更改。如果需要切换回英文界面，只需在注册表项中将“CHS”（简体中文）改为“ENU”（英语），再次运行即可。文章还简单介绍了HKEY_CURRENT_USER路径下注册表键值的作用，并提供了资源下载链接。
镜像取证
未读
【镜像仿真篇】Arsenal Image Mounter镜像挂载利器
Arsenal Image Mounter是一款强大的磁盘挂载工具，能够在Windows系统中将磁盘映像作为“真实磁盘”挂载。它支持启动虚拟机、管理BitLocker加密卷等功能。用户可以从其官方网站下载该软件，并且需要在Microsoft .Net Framework 4.0环境下运行。安装后，用户可以通过选择镜像文件并设置只读或写入临时磁盘设备模式来挂载磁盘。成功挂载后，可在磁盘管理器中查看已挂载的磁盘信息。此外，Arsenal Image Mounter还允许用户轻松更改已挂载磁盘的模式，无需重新挂载，提供了极大的便利性。总的来说，它是Windows平台上一个免费且高效的磁盘挂载解决方案。
镜像仿真
未读
【镜像仿真篇】ESXi镜像仿真教程
本文介绍了ESXi镜像仿真的详细教程，包括实验环境配置、vSphere版本介绍以及核心组件ESXi和vCenter Server的功能。作者尝试使用多种工具挂载ESXi镜像，但最终发现只有FTK Imager v3.1.1.8能够成功挂载并进行仿真。通过查看挂载后的"BOOT.CFG"文件，可以确定ESXi的具体版本，进而选择合适的系统版本进行仿真。在虚拟机设置中，采用典型配置安装，并将挂载的磁盘作为物理硬盘添加到虚拟机中，最终成功进入ESXi系统界面。文章最后强调了系统仿真的复杂性和挑战性，同时提供了相关资源下载链接。
镜像仿真
未读
【镜像仿真篇】WindowsServer服务器镜像仿真
本文介绍了如何使用qemu-img工具将raw、qcow2等格式的镜像转换为vmdk文件，以及在VMware Workstation 16 Pro中创建并配置Windows Server虚拟机的过程。首先通过qemu-img命令行工具进行镜像格式转换，然后详细讲述了在VMware中新建虚拟机时需要注意的关键步骤，包括选择BIOS作为固件类型、IDE作为磁盘类型，并强调了选择正确的操作系统版本和磁盘类型的重要性。此外，还提到了添加额外硬盘的方法及遇到“Windows错误恢复”时的处理建议。最后提醒读者在操作过程中注意数据安全，推荐使用备份文件进行实验。
