.png)
计算机取证
未读
【数字取证篇】Autopsy案例创建与镜像分析详细教程
本文详细介绍了使用Autopsy进行数字取证的步骤，包括案例创建、数据源添加与分析、以及报告生成。实验环境基于Windows 11专业工作站版和Autopsy 4.19.3版本，并以E01格式镜像为测试对象。首先，在Autopsy中创建新案例时需填写案件名称及存储路径等信息；接着，通过选择适当的数据源类型（如磁盘镜像或虚拟机文件）并指定其位置来添加数据源。Autopsy内置了多种标准采集模块用于自动分析数据源内容，如最近活动模块、哈希查找模块等。在完成数据分析后，用户可以通过左侧树形结构查看结果，并利用时间轴、图片库等功能进一步探索特定数据。最后，可通过“生成报告”功能导出包含所有分析结果的最终报告，支持HTML、XLS等多种格式。整个过程展示了Autopsy强大的数字取证能力及其便捷的操作界面。
加解密取证
未读
【Hash篇】哈希计算神器-HashMyFiles软件
本文介绍了HashMyFiles软件，这是一款轻便、免费的哈希计算工具，支持批量计算文件或文件夹的MD5和SHA1等哈希值。其特点包括绿色便携（无需安装）、批量处理能力和多种输出格式（如文本、HTML、XML）。用户可以通过下载特定语言包来实现界面汉化，并能够自定义所需计算的哈希类型以提高效率。此外，该软件还支持与Windows资源管理器集成，通过右键菜单快速访问。高级用户还可以利用命令行选项进行更复杂的操作，如指定文件路径、保存结果到不同类型的文件以及排序等。文章最后提供了官方下载链接和其他相关资源。
加解密取证
未读
【Hash篇】HashTab一款可扩展资源管理器的哈希校验软件
HashTab是一款优秀的Windows资源管理器扩展程序，它在文件属性中添加了“文件校验”标签，支持多种哈希算法如MD5、SHA1等，便于用户轻松校验文件完整性。此外，该软件还具备文件比较功能，可以快速比对两个文件的哈希值是否相同。用户能够自定义选择常用的哈希类型，并且操作界面友好。HashTab现已开源，可以从其官网下载。对于单个或少量文件的校验工作非常方便，而大量文件则建议使用其他批量处理工具如HashMyFiles。本文由[蘇小沐]撰写，提供了详细的使用说明及下载链接。
镜像仿真
未读
【镜像仿真篇】DD、E01系统镜像仿真教程
本文介绍了如何使用FTK Imager和VMware手动仿真DD、E01等系统镜像以查看其中的数据。首先，通过FTK Imager的“可写”模式将镜像挂载为本地驱动器，确保选择"Block Device/Writable"选项，并记住挂载后的驱动器号。接着，在VMware中新建虚拟机，根据挂载镜像的具体情况（如文件系统类型、固件类型）进行配置。创建过程中需注意处理器、内存分配以及磁盘类型的选择。完成设置后，即可启动虚拟机并访问镜像数据。文章还提供了错误示范及解决方法，强调了版本兼容性问题，并分享了相关软件下载链接。
镜像仿真
未读
【镜像仿真篇】磁盘镜像仿真常见错误
本文总结了磁盘镜像仿真过程中常见的错误及其解决方法。实验环境包括Windows 11系统镜像、Arsenal Image Mounter和VMware Workstation 17 Pro等工具。文章详细描述了三类常见错误：虚拟机报错（如物理磁盘已被使用）、界面报错（如No Media、unsuccessful）以及计算机系统镜像挂载报错（如Volume Shadow Copy）。针对每种错误，提供了具体的排查步骤和解决方案，例如通过资源监视器查找占用进程、开启必要的Windows服务、删除.lck文件或修改.vmx文件等。此外，还提供了一些扩展内容，如如何处理VMware挂载物理磁盘时提示被占用的问题。文章最后附有相关资源下载链接及往期精彩回顾。
镜像取证
未读
【镜像取证篇】VMware虚拟机配置文件取证
本文介绍了VMware虚拟机配置文件的取证方法，重点关注了.log、.vmdk和.vmem三个文件。实验环境使用的是VMware Workstation 16 Pro和Windows 11专业版。文章详细描述了虚拟机在挂起状态下的文件情况，并对常见的虚拟机文件进行了介绍，包括日志文件（.log）、虚拟磁盘文件（.vmdk）、内存文件（.vmem）、快照相关文件（.vmsd、.vmsn）、挂起状态信息文件（.vmss）、硬件配置文件（.vmx）等。此外，还提到了其他辅助文件如附加配置文件（.vmxf）、BIOS状态信息文件（.nvram）以及锁定文件夹（.lck）。最后，作者强调了理解基础原理的重要性，并提供了资源下载链接。
镜像仿真
未读
【镜像取证篇】DD系统镜像仿真问题的一些补充说明
本文主要介绍了DD系统镜像仿真过程中可能遇到的问题及其解决方法。首先强调了环境的重要性，建议使用Windows专业版以获得更全面的功能支持。接着详细说明了不同类型的法证镜像文件（如.DD、.E01等）的特点和作用，并指出镜像仿真的前提是拥有完整的系统镜像。文章还讨论了镜像挂载问题、权限设置、数据完整性以及仿真过程中可能出现的卡顿或等待时间过长的情况，提供了相应的解决方案。最后提醒读者注意硬件兼容性对镜像仿真效果的影响，并鼓励大家在遇到问题时多尝试不同的方法。此外，作者还提供了一些相关软件下载链接以便读者进一步实践学习。
镜像仿真
未读
【镜像仿真篇】Linux镜像仿真、E01镜像取证
本文介绍了Linux镜像（包括DD和E01格式）的仿真过程，特别强调了在虚拟磁盘中挂载镜像时可能遇到的“磁盘占用”问题。首先使用FTK Imager以“可写”模式挂载镜像，并确保其真实挂载到本地磁盘。接着，在VMware中创建新的虚拟机，选择合适的客户端镜像系统（如Ubuntu）、磁盘类型（SATA或SCSI），并指定使用物理磁盘，即FTK Imager挂载的驱动器号。文章提醒读者注意检查“磁盘管理”中的挂载情况，以避免因磁盘占用导致无法成功仿真。最后提供了相关软件下载链接。
Linux取证
未读
【Linux取证篇】Windows应用商店安装Kali Linux系统与Vmware虚拟机共存
本文介绍了在已安装有Vmware虚拟机的Windows 11环境下，通过启用开发人员模式、检查并启用适用于Linux的Windows子系统(WSL)，以及从应用商店安装Kali Linux的方法。文章详细说明了如何设置账号和密码，并确保Kali Linux与现有Vmware虚拟机共存。关键步骤包括：启用WSL功能、在应用商店搜索安装Kali Linux、设置用户名和密码、查看并设置WSL版本为1以实现与Vmware兼容。最终，用户可以在同一台机器上同时运行Vmware虚拟机和WSL下的Kali Linux，从而无需频繁切换环境。
Linux取证
未读
【Linux取证篇】kali Linux下的su、sudo命令用法说明
本文详细介绍了在Kali Linux中`su`和`sudo`命令的使用方法及其区别。`su`（Switch User）用于切换用户，其中`su`仅切换用户身份但不改变环境变量，而`su -`则同时切换用户身份和环境变量。`sudo`（Super User do）允许用户以超级用户权限执行单个命令，通过输入当前用户的密码即可获得临时的root权限，无需切换整个环境。此外，文章还提供了如何重置root密码、查看具有sudo权限的用户以及避免一些常见错误命令的方法。最后强调了直接使用root账户的风险，并建议尽量减少其使用。
