鐵人檔案
此系列文章以數位鑑識為主題，從基礎觀念開始，適合沒有相關背景的讀者。文章會帶著讀者一步步了解鑑識人員如何保存證據、分析電腦與手機中的資料，並從看似零散的紀錄中找出事件發生的經過。內容會循序漸進，從檔案與硬碟等基礎概念，逐漸深入記憶體、Windows 系統留下的各種痕跡，也會搭配實際操作，讓讀者不只是理解概念，也能動手試試看。
上一篇我們用 Volatility 3 從 Memory Image 裡找 Process、Network Connections，這一篇把視角拉回硬碟。 前面...
上一篇介紹了 NTFS 的四個核心： $MFT $Boot $Bitmap $LogFile 其中最重要的就是 $MFT。 MFT Record 裡的 At...
Endianness 如果只有 1 Byte，就沒有排列順序的問題。例如： 0x64 但如果一個數字需要多個 Byte 表示，就會遇到「這些 Byte 要怎麼...
Run List 放在哪裡？ Run List 是 Non-Resident Attribute 的 Attribute Record 裡的一段資料。 以一般檔...
File Carving 不依賴檔案系統的 Metadata，直接從原始資料中尋找檔案。 一般情況下，我們可以透過檔案系統知道： 檔案名稱 ↓ MFT...
我們每天使用瀏覽器搜尋、登入網站、下載檔案，這些操作都可能在電腦中留下紀錄。 Browser Forensics 就是分析瀏覽器留下的資料，藉此了解使用者曾經進...
Forensic Timeline 是什麼？ 簡單來說，就是把系統中不同 Artifact 的時間資訊整理成一條時間線。 原本分散在不同地方的紀錄，整理之後就能...
如果一台電腦只有一顆硬碟，資料的位置相對單純。 但在伺服器、NAS 等環境中，常常會把多顆硬碟組成 RAID（Redundant Array of Indepe...
XOR（⊕） XOR（Exclusive OR）是一種邏輯運算。 規則很簡單：相同 → 0，不同 → 1。 例如： A B A ⊕ B 0 0 0...
前面介紹數位鑑識時，常常會說： 不要讓自己成為破壞證據的人。 到了手機鑑識，這句話尤其重要。 因為手機和傳統硬碟不太一樣。現代手機通常有加密機制，而且儲存空...
