hintll的博客

电子数据取证第四章读书笔记 电子数据取证第四章主要讲的是电子数据取证的原则与流程: 1.合法性原则。一是主体合法，即电子数据取证工作必须由侦查人员主导，由相关技术人员协助配合予以进行。二是程序合法，即应依法收集、存储、传递、出示电子数据证据，并载明其形成的时间、地点、制作人、制作过程及设备情况等，必要时需配备 见证人员。三是来源合法，即电子数据所依附存储介质和设备获取的合法性。 2.及时性原则。由于电子数据具有唯一性，一旦灭失便难以恢复，及时取证要求在电子数据收集过程中显得尤为突出。 3.全面性原则。

电子数据取证第一章读书笔记 这章就是讲概述

电子数据取证第二章读书笔记 1.计算机硬件知识 内存与外存： 内存(Memory)是计算机的重要部件之一，也称内存储器和主存储器，它用于暂时存放CPU中的运算数据，与硬盘等外部存储器交换的数据。它是外存与CPU进行沟通的桥梁，计算机中所有程序的运行都在内存中进行，内存性能的强弱影响计算机整体发挥的水平。只要计算机开始运行，操作系统就会把需要运算的数据从内存调到CPU中进行运算，当运算完成，CPU将结果传送出来。 外储存器是指除计算机内存及CPU缓存以外的储存器，此类储存器一般断电后仍然能保存数据。常见的外存

电子数据取证第六章Windows取证读书笔记 其实Windows的取证可以依靠像美亚的取证大师这类取证软件来进行。 这类软件可以完成大多数的取证需要 用户目录： WindowsXP————Documents and Settings Documents and Settings Documents and Settings文件夹是Windows NT/2000/XP/2003操作系统中用来存放用户配置信息的文件夹。之后的版本改为了Users文件夹，Documents and Settings仍然存在。

电子数据取证第六章读书笔记 1.数字时间取证 保存在硬盘中或文件夹中的时间格式为时间戳的格式 注意：(1)取证设备中操作系统的时间要与标注时间同步 （2）取证工具的时间设置与被取证目标操作系统的时间偏移量保持相对一致 不同操作下文件时间的更新特点： 操作 创建时间 修改时间 访问时间 重命名 不变 不变 不变 文件夹内文件变化 不变 更新 更新 卷内移动 不变 不变 不变 跨卷移动 更新 不变 更新 复制文件 更新（如果覆盖同文件名文件则不更新） 不变（目标文件） 更新