3、计算机技术与取证相关知识解析

计算机技术与取证相关知识解析

1. 文件存储格式

文件存储有不同的方式。大多数文件格式，像纯文本文件和很多图片格式，是以普通文件的形式存储。不过，像 Microsoft Office 文件和 ZIP 等压缩文件格式，是以复合文件的形式存储。复合文件有其自身的结构化存储方式，在复合文件内部有局部的文件结构，这在压缩文件中很常见。复合文件在“打包”状态下不能被完全检查，必须解包才能进行全面分析，因为压缩状态下的数据表示方式与原始未压缩状态不同。例如，PDF 文件的十六进制和字母数字文件签名是 44 46 2D 或 %PDF - 1.4 。

2. 数据表示

• 二进制和十六进制存储 ：计算机存储介质上的数据以二进制（0 和 1）形式存储。可以将位分组为 8 位一组，称为字节，一个字节也可以用两个十六进制符号表示。不同应用程序存储数据的顺序可能不同。对于单个字节（8 位），从左到右，最左边的位具有最高的重要性，最右边的位重要性最低。当数据集包含多个字节时，有两种存储字节的方式：
  • 大端序（big - endian） ：先存储最重要的字节。
  • 小端序（little - endian） ：从左到右先存储最不重要的字节。
    例如单词“troll”在大端序和小端序中的存储方式不同。
• 字符编码 ：计算机有不同的字符表示方式，即不同的数据编码方式，如 ASCII、UTF - 8 和 UTF - 16 。编码决定了符号在二进