电子数据取证技能赛

通过对电子数据的调查来获取数据

我们在机械硬盘、手机上删除文件其实并没有删除

反取证：低级格式化、安全覆写

不考察提取的过程，只考察分析和研判的过程，得到报告或人类方便阅读的内容

数据的恢复、破解、搜索、仿真、关联、统计（统计涉案金额，统计下级人数等）和比对

仿真：将镜像还原为一个虚拟机，保留所有电脑数据，可以直接进电脑操作

考察逆向（Windows PE、Linux ELF、Android APK等）

IOT：钱包的恢复密钥（助记词）、爆破钱包地址、查交易记录

• 介质取证
• 内存取证：分析内存镜像和内存转储，Volatility

司法取证，企业内部反舞弊

• 检材容器：VeraCrypt
• 硬盘镜像：EWF镜像、Raw镜像，VMDK
• 内存镜像：image mem
• 压缩包：手机备份包