鐵人檔案
此系列文章以數位鑑識為主題，從基礎觀念開始，適合沒有相關背景的讀者。文章會帶著讀者一步步了解鑑識人員如何保存證據、分析電腦與手機中的資料，並從看似零散的紀錄中找出事件發生的經過。內容會循序漸進，從檔案與硬碟等基礎概念，逐漸深入記憶體、Windows 系統留下的各種痕跡，也會搭配實際操作，讓讀者不只是理解概念，也能動手試試看。
Forensic Image 是儲存媒體的鑑識副本，用來保留原始媒體中的資料，讓後續分析可以在副本上進行。 Forensic Image 常見格式...
HDD HDD（Hard Disk Drive，硬碟機） 是一種使用磁性碟片儲存資料的裝置。 可以把它想成一個會旋轉的磁碟： 磁頭...
Volatile Data Volatile Data（揮發性資料），指的是： 需要依賴系統目前運作狀態存在，關機或電源中斷後可能消失的資料。 最典型的例子...
Metadata 簡單來說， Metadata 就是「描述資料的資料」。 例如： photo.jpg │ ├── 主要資料 │ └── 照片本身 │...
假設硬碟裡發現一個可疑程式： suspicious.exe 光看到它，其實還不知道它做了什麼。 但如果在 Memory 裡發現： suspicious.exe...
Windows Registry Windows Registry（Windows 登錄檔）可以想成 Windows 的設定資料庫。 裡面會儲存許多系統與使用者...
Prefetch Prefetch 是 Windows 用來協助改善程式啟動效能的機制。 當 Windows 執行某些程式時，可能會產生對應的 .pf 檔案。...
LNK LNK（Shortcut File） 是 Windows 常見的「捷徑檔」。 例如桌面上的： Chrome.lnk report.docx.lnk 點...
Recycle Bin 當使用者在 Windows 中一般刪除一個檔案時，Windows 通常不會立刻把檔案內容完全清除。 而是先把它移到： Recycle B...
Volatility 3 是一個開源的 Memory Forensics Framework，主要用來從 RAM 的 Memory Image 中提取與分析數位...
