13、网络取证与元数据调查：数字世界的侦探术

网络取证与元数据调查：数字世界的侦探术

1. 元数据调查

元数据在计算机取证中扮演着至关重要的角色，它是关于数据的数据，包含如文件名、大小、MAC 时间戳、GPS 信息等细节。这些隐藏的信息对于取证调查至关重要，虽然单个元数据可能看似无关紧要，但综合起来却能揭示大量信息。

以下是一些常见的元数据示例：
| 元数据类型 | 说明 |
| ---- | ---- |
| 组织名称 | 与文件相关的组织标识 |
| 作者姓名 | 创建文件的人员 |
| 计算机名称 | 生成或处理文件的计算机 |
| 网络名称 | 文件所在的网络环境 |
| 隐藏文本 | 文档中隐藏的信息 |
| 文档版本 | 文件的不同版本记录 |
| 个性化视图 | 用户对文档的个性化设置 |
| 模板信息 | 文档所使用的模板 |
| 文档机密细节 | 文档中的敏感信息 |
| 数据修改记录 | 尝试更改、删除或隐藏数据的人员 |
| 相关文档来源 | 文件的多个相关来源 |

在 Windows 系统中，文件的 MAC 时间是最广为人知的元数据。MAC 代表修改（Modified）、访问（Accessed）和创建（Created），分别对应文件的创建日期、最后访问时间和最后修改日期。NTFS 文件系统以协调世界时（UTC）格式存储 MAC 时间，类似于格林威治标准时间（GMT），而 FAT 文件系统则根据计算机系统的本地时间存储这些时间。

对于不同格式的文件，提取元数据的方法也有所不同：
- PDF 文件 ：可以使用