蘇小沐的电子数据取证博客

数据的价值远超案件，很多数据的价值没在当前的案件中发挥作用，并不代表着它就没有用。在 NTFS 文件系统中，可以通过隐写来将一些不为人知的、甚至是恶意的程序、代码隐藏在"NTFS 数据流（ADS）"等特殊文件中，一般的文件管理器和工具是无法发现和对其处理的，本文通过一些介绍，来初步认识下常用的Windows操作系统NTFS文件系统数据流\---【蘇小沐】

挖一挖微信图片，看它藏着个什么世界---【蘇小沐】

公众号回复关键词【加解密】自动获取资源合集【蘇小沐】

在取证知识里挖呀挖呀挖---【蘇小沐】

都说"自制武器不一定是最强的，但最强的武器一定是自制的"，对于取证工具也是一样，虽然默认配置足够强，但如果我们能根据实时情景自定义参数配置，那么往往能事半功倍---【蘇小沐】

【Bitlocker篇】BitLocker无法加密系统盘，提示正在启动Bitlocker，系统找不到指定的文件的解决方案​ 先排除先天不足因素（1.首先电脑硬件支持TPM；2.电脑系统支持BitLocker加密；3.除系统盘外其他盘能正常启用BitLocker加密），仍然无法启动BitLocker加密系统盘，最终更改REAGENT.XML文件参数成功解决，踩坑做个记录。—【suy】文章目录【Bitlocker篇】BitLocker无法加密系统盘，提示正在启动Bitlocker，系统找不到指定的文件的解

【文件权限篇】利用回收站解除文件权限问题​ --【suy】文章目录【文件权限篇】利用回收站解除文件权限问题一、提示错误1、图像文件打不开-显示不支持此格式2、Word、PDF等办公文件打不开-显示打开文件错误等3、压缩包打不开-提示拒绝访问等二、优先尝试（一）复制到其它盘（二）拖入回收站再还原1、回收站属性调节容量方法2、回收站容量调节路径：回收站->右键“属性”->“常规”->“自定义大小”回收站最大能设置多大呢？总结​ 有时候在拷贝复制一些文件过程中、如从旧电脑、旧硬

【加解密篇】Passware Encryption Analyzer快速检测加密文件软件​ 密码加密分析仪是一种免费工具，可扫描系统以检测受保护或加密的文件、存档和其他加密类型的文件—【suy】文章目录【加解密篇】Passware Encryption Analyzer快速检测加密文件软件（一）扫描对象1、加密文件检测2、加密容器检测3、扫描区域（二）扫描结果1、详细报告2、通过加密对文件进行排序（二）可识别文件类型1、适用平台2、软件版本总结（一）扫描对象​ 可全盘扫描或者自定义扫描驱动或文件夹等

【加解密篇】Passware Kit Forensicz纯数字密码破解教程​ 简单密码破解设置教程—【suy】文章目录【加解密篇】Passware Kit Forensicz纯数字密码破解教程纯数字密码设置总结纯数字密码设置​ 选择"密码长度"->勾选"密码类型"->"保存"设置；本例设置纯密码长度1~6位纯数字，点击完成后开始破解密码，一般一两分钟即可跑完。总结​ 对于一些可能性大的密码范围，可自定义选择类型优先尝试破解，避免浪费时间。名称时间开始编辑日期

【加解密篇】Passware Kit Forensicz自定义解密类型教程​ 都说"自制武器不一定是最强的，但最强的武器一定是自制的"，对于取证工具也是一样，虽然默认配置足够强，但如果我们能根据实时情景自定义参数配置，那么往往能事半功倍。—【suy】文章目录【加解密篇】Passware Kit Forensicz自定义解密类型教程（一）指定常规密码格式1、选择加密文档（二）三种破解模式1、使用预定义设置2、运行向导3、高级：自定义设置总结​ Passware Kit Forensic是一款非常优秀的

【Passware Kit Forensicz】清除破解文件历史记录​ Passware 清除破解文件历史等记录—【suy】文章目录【Passware Kit Forensicz】清除破解文件历史记录（一）最近文档破解记录（二）清除破解文档记录1、清除历史2、清除破解文档记录总结【Passware版本：Version 2019.4.1】（一）最近文档破解记录​ 在进行破解加密文档或加密盘等，会有历史记录操作的记录，本次仅为少数情况下需要清除历史记录所做的记录。（二）清除破解文档记录​ 有"

【Hash篇】哈希计算神器-HashMyFiles可直接拖放、复制粘贴、添加文件或文件夹的方式来批量计算Hash，操作简便、体积小、免费。这篇来介绍他的汉化和其它一些功能设置—【suy】文章目录【Hash篇】哈希计算神器-HashMyFiles一、HashMyFiles特点1、绿色便携2、批量算Hash3、保存文本多样二、个性化设置（一）设置中文（二）自定义Hash类型（三）集成资源管理器右键菜单三、高级功能-命令行选项总结参考资料一、HashMyFiles特点1、绿色便携不需要任何安装过程或其它

【Hash篇】HashTab一款可扩展资源管理器的哈希校验软件​ HashTab是一款非常优秀的Windows资源管理器扩展程序，它在资源管理器的属性窗口中添加了"文件校验"的标签，可以非常方便地校验文件的CRC32、MD5、SHA1等校验值，另外还可以迅速与其他文件进行哈希值比对！—【suy】文章目录【Hash篇】HashTab一款可扩展资源管理器的哈希校验软件1、自定义哈希算法2、文件比较功能3、下载地址总结1、自定义哈希算法​ HashTab可计算和显示来自二十多种流行的哈希算法的哈希值，

【加解密篇】Windows虚拟机全系列密码破解教程在电子取证中，遇到的是镜像格式，首先就需要镜像仿真进入系统，还经常会遇到系统有密码的情况，这一步很多人会选择同型号的系统镜像来替换，但是，系统镜像动辄4、5个GB大小，下载速度慢、修改步骤复杂，此篇介绍设置光驱启动的方法，加载PE镜像工具破解Windows系列密码 —【suy】文章目录【加解密篇】Windows虚拟机全系列密码破解教程一、DD镜像仿真1、实验数据2、镜像仿真教程：**[【电子取证：镜像仿真篇】DD、E01系统镜像动态仿真](https:/