本書第一版在2014年由中國水利水電出版社出版后，填補了高職高專網(wǎng)絡安全及相關專業(yè)計算機取證教學的空白。蒙讀者垂青，被國內諸多高職高專院校選作專業(yè)課程教材和企業(yè)相關培訓的主要參考教材之一。在深感欣慰之余，我們深知隨著IT產業(yè)和網(wǎng)絡安全產業(yè)的發(fā)展，各項技術和教學方法均不斷在更新，第一版教材內容也需要與時俱進。為此，在出版社和廣大讀者的支持下，編者從2020年開始著手教材的再版修訂工作。在修訂過程中，編者積極結合8年來的實際教學經驗，并通過多種渠道積極收集和關注讀者以及使用第一版教材教師的反饋和建議。這些經驗總結和建議反饋主要集中在以下3點：

 教材內容較多，如果全講，則所有課時會超出教學計劃的規(guī)定，特別是網(wǎng)絡取證中的很多內容，實際上在網(wǎng)絡安全相關課程中均已有所講授，只要本書中的取證理論能夠被學生理解，完全可以直接應用其他課程的相關內容進行網(wǎng)絡取證工作。

 部分章節(jié)深度不夠，如易失性證據(jù)獲取部分，實際實驗過程需要進行大量腳本編寫和完善，但第一版教材沒有深入體現(xiàn)；再如插入式隱藏和分析部分，雖然理論分析講述較為充分，但實際的實驗操作卻較為弱化等。

 實驗沒有操作視頻，僅依靠書中的講解和截圖，很難讓學生理解實際操作的步驟。

鑒于此，我們在堅持第一版特色突出的基本框架結構的同時，充分借鑒了實際教學經驗，廣泛吸納了讀者的建議，對教材進行了諸多方面的修訂。

 知識更新：根據(jù)目前信息產業(yè)流行的信息技術，如操作系統(tǒng)等的變化，對相應的實驗過程和命令進行了更新。

 結構更新：刪除了和網(wǎng)絡安全其他課程重復的網(wǎng)絡取證章節(jié)，并對各個章節(jié)的實驗部分進行了全面梳理和更新，描述中特別強調實際實驗操作的具體運用。

 資源更新：特別加入了全書所有實驗的操作視頻，且為了保證教師教學和讀者日常知識獲取的便利，所有視頻全部按照細化知識點的微課形式加入。

 難度調整：對較為深奧的理論，特別注重深入淺出的闡述，盡量加入案例說明使內容更加簡明易懂。

 錯誤糾正：已對第一版中發(fā)現(xiàn)的各類錯誤進行了更正。

一、再版結構

本書再版后仍然延續(xù)第一版特色，沒有按部就班地介紹深奧枯燥的計算機取證理論，而是切合高等職業(yè)人才的培養(yǎng)特點，強調理論以夠用為度，以一個統(tǒng)一的綜合案例為主線，分為既相互獨立又有所聯(lián)系的五大項目任務，從計算機取證準備和現(xiàn)場處理開始，依次論述Windows環(huán)境的單機取證、非Windows環(huán)境的單機取證、原始證據(jù)的深入分析和針對多媒體進行取證等計算機取證的重要領域和過程，全面系統(tǒng)地介紹了計算機取證和司法鑒定的基本理論以及實際案例調查的操作規(guī)程和技術運用，且每個項目均以實訓和練習的形式配備大量來自工程實踐的應用案例和操作微課視頻。本書立足于計算機取證調查技術的實際運用，可操作性強。本書具體內容和建議課時如下表所列。

項目序號 項目名稱 子任務數(shù)量 理論課時 實踐學時

1 計算機取證準備和現(xiàn)場處理 3 7 4

2 Windows環(huán)境的單機取證 5 6 7

3 非Windows環(huán)境的單機取證 2 6 6

4 原始證據(jù)的深入分析 2 6 10

5 針對多媒體進行取證 3 7 5

每個項目就是一個大的學習任務，以“學習目標－項目說明－項目任務－基礎知識－項目分析－項目實施－應用實訓－拓展練習”為主線，每個項目內容在涵蓋基本理論知識的基礎上，以項目案例調查為實踐落腳點，通過“項目說明”和“項目任務”讓學生首先了解要解決的實際問題，激發(fā)其學習興趣；然后通過“基礎知識”的學習奠定相應的理論和技術基礎；進而通過“項目分析”使學生明確具體項目的實施策略，并在“項目實施”中以項目任務為規(guī)劃分步完成項目，體現(xiàn)學以致用；最后通過“應用實訓”和“拓展練習”鞏固學生的學習成果，從而實現(xiàn)理實一體化的高效教學。整個內容結構環(huán)環(huán)相扣，理論與實踐相結合，體現(xiàn)了任務驅動和“教學做”一體化的思想。

二、特色

1．實用——貼近實際

同第一版相同，本書在此次修訂過程中仍然查閱了大量國際一流計算機取證公司的產品技術和規(guī)范，并得到多家計算機取證產品公司的技術支持。本書內容選擇取決于企業(yè)實際工作需求，注重實用性，且選取更加適用于高職高專教育教學的工具進行講解。

2．實效——理實一體

本書在修訂過程中，以“整體項目引導、分項任務驅動”為思路，全書以一個綜合案例貫穿始終，并根據(jù)案例需求分項任務導入每一個分項章節(jié)；延續(xù)第一版特色，從項目案例的 “項目說明”和“項目任務”入手，使讀者通過真實的案例了解所學內容的實用價值，激發(fā)其學習興趣，然后展開“基礎知識”的學習，通過“項目分析”和“項目實施”完成項目，并通過“應用實訓”和“拓展練習”強化學生技能，體現(xiàn)了任務驅動和“教學做”一體化的思想，實效性高。

三、面向對象

本書再版主要面向高職高專院校以及本科院校網(wǎng)絡安全專業(yè)、計算機相關專業(yè)和法學專業(yè)的學生（建議教學學時為64學時，課堂講授和取證實踐學時各占一半），也可作為行業(yè)企業(yè)網(wǎng)絡安全管理和技術人員的培訓教材。

本書的再版修訂工作由重慶電子工程職業(yè)學院張湛、瞿芳任主編。張湛負責全書的組織策劃，并編寫項目3和項目5；瞿芳負責結構規(guī)劃、統(tǒng)稿，并編寫項目1、項目2和項目4。

由于本書編者水平所限，書中難免存在不妥之處，懇請讀者批評指正。編者郵箱：blacksnown@126.com。

編 者

2022年5月

項目1 計算機取證準備和現(xiàn)場處理 1
學習目標 1
項目說明 1
項目任務 1
基礎知識 2
1.1 計算機取證和司法鑒定 2
1.1.1 計算機取證和司法鑒定的概念 2
1.1.2 計算機取證和司法鑒定的業(yè)務范圍 3
1.1.3 計算機取證的發(fā)展狀況 4
1.1.4 計算機取證調查與個人隱私和公司秘密的保障 5
1.1.5 計算機取證和司法鑒定的原則 6
1.1.6 計算機取證的實施過程 10
1.2 計算機取證調查人員 14
1.2.1 計算機取證和司法鑒定人員的要求 14
1.2.2 企業(yè)內部調查取證人員與司法取證和鑒定人員的異同 18
1.2.3 計算機取證人員的職業(yè)道德 18
1.3 企業(yè)內部取證調查和司法取證調查 19
1.3.1 針對私營企業(yè)內部取證現(xiàn)場的取證調查 19
1.3.2 針對執(zhí)法犯罪現(xiàn)場的取證調查 22
項目分析 23
項目實施 24
1.4 任務一：計算機取證的程序和文檔準備 24
1.4.1 計算機取證調查授權書的準備 24
1.4.2 評估案件的性質 26
1.4.3 確定計算機取證調查的邊界 27
1.4.4 準備計算機取證的證據(jù)管理表單 29
1.5 任務二：計算機取證的硬、軟件準備 31
1.5.1 了解取證案件的需求 31
1.5.2 規(guī)劃取證調查 32
1.5.3 制作干凈的啟動盤 33
1.5.4 建立現(xiàn)場取證工具箱 43
1.5.5 準備取證所需設備和工具 44
1.6 任務三：進入取證現(xiàn)場 47
1.6.1 處理一個主要的取證現(xiàn)場 47
1.6.2 保護現(xiàn)場的數(shù)字證據(jù) 48
1.6.3 分類數(shù)字證據(jù) 49
1.6.4 處理和管理數(shù)字證據(jù) 50
1.6.5 存儲數(shù)字證據(jù) 51
應用實訓 51
拓展練習 52
項目2 Windows環(huán)境的單機取證 53
學習目標 53
項目說明 53
項目任務 53
基礎知識 54
2.1 電子證據(jù)的概念和法律定位 54
2.1.1 電子證據(jù)的概念 54
2.1.2 電子證據(jù)、計算機證據(jù)和數(shù)字證據(jù)的異同 54
2.1.3 電子證據(jù)的特點 55
2.1.4 電子證據(jù)的可采性問題 57
2.1.5 電子證據(jù)與我國傳統(tǒng)的七大證據(jù)的關系 58
2.1.6 電子證據(jù)與直接證據(jù)和間接證據(jù)的關系 61
2.2 Windows/DOS取證基礎 62
2.2.1 主引導記錄MBR 62
2.2.2 FAT文件結構 64
2.2.3 NTFS文件結構 67
項目分析 73
項目實施 73
2.3 任務一：在Windows環(huán)境下進行原始證據(jù)取證復制 73
2.3.1 現(xiàn)場取證復制前的考慮 73
2.3.2 易失性證據(jù)快速取證 75
2.3.3 利用FTK Imager進行取證復制 80
2.3.4 利用X-Ways Forensics進行取證復制 87
2.4 任務二：Windows注冊表調查 92
2.4.1 注冊表基礎 92
2.4.2 計算機取證調查中關注的常規(guī)鍵 94
2.4.3 取證調查時注冊表中關注的文件夾位置 96
2.4.4 取證調查時注冊表中關注的自啟動項 97
2.4.5 注冊表取證調查的方法 98
2.5 任務三：Windows文件目錄調查 101
2.5.1 自啟動目錄和文件 101
2.5.2 Windows系統(tǒng)中的重要目錄 103
2.5.3 Windows系統(tǒng)中的重要系統(tǒng)文件 105
2.6 任務四：Windows日志調查 107
2.6.1 事件日志的調查 107
2.6.2 網(wǎng)絡日志的調查 112
2.7 任務五：Windows的進程和網(wǎng)絡痕跡調查 114
2.7.1 系統(tǒng)常用進程分析 114
2.7.2 系統(tǒng)網(wǎng)絡痕跡調查 117
應用實訓 118
拓展練習 119
項目3 非Windows環(huán)境的單機取證 120
學習目標 120
項目說明 120
項目任務 120
基礎知識 121
3.1 Macintosh的引導過程和文件系統(tǒng) 121
3.1.1 Macintosh文件結構 121
3.1.2 Macintosh中的卷結構 122
3.1.3 引導Macintosh系統(tǒng) 123
3.2 UNIX/Linux的引導過程和文件系統(tǒng) 124
3.2.1 UNIX/Linux磁盤結構 124
3.2.2 i節(jié)點簡介 127
3.2.3 Linux的目錄結構和重要文件 129
3.2.4 UNIX/Linux的引導過程 132
項目分析 133
項目實施 134
3.3 任務一：在UNIX/Linux環(huán)境下獲取原始證據(jù) 134
3.3.1 UNIX/Linux系統(tǒng)中現(xiàn)場證據(jù)的獲取 134
3.3.2 UNIX/Linux環(huán)境中內存與硬盤信息的獲取 136
3.3.3 UNIX/Linux環(huán)境中進程信息的獲取 140
3.3.4 UNIX/Linux的網(wǎng)絡連接信息獲取 143
3.4 任務二：UNIX/Linux環(huán)境的數(shù)據(jù)初步分析 146
3.4.1 UNIX/Linux環(huán)境的取證數(shù)據(jù)預處理 146
3.4.2 UNIX/Linux環(huán)境的日志調查 148
3.4.3 UNIX/Linux環(huán)境中其他重要信息的調查 153
應用實訓 156
拓展練習 157
項目4 原始證據(jù)的深入分析 158
學習目標 158
項目說明 158
項目任務 158
基礎知識 159
4.1 電子證據(jù)司法鑒定的程序 159
4.1.1 電子證據(jù)司法鑒定的含義 159
4.1.2 電子證據(jù)司法鑒定的程序概述 159
4.2 電子證據(jù)保全 161
4.3 調查取證報告 162
4.3.1 調查取證報告的重要性 162
4.3.2 調查取證報告的書寫準則 163
項目分析 166
項目實施 166
4.4 任務一：利用EnCase Forensic進行深入分析 166
4.4.1 創(chuàng)建新案件并添加證據(jù)磁盤 166
4.4.2 EnCase界面簡介 170
4.4.3 利用EnCase調查案件的前期步驟 182
4.4.4 文件操作 186
4.4.5 關鍵詞搜索 188
4.4.6 使用書簽 191
4.4.7 生成報告 194
4.5 任務二：利用X-Ways Forensics進行深入分析 196
4.5.1 環(huán)境設置 196
4.5.2 創(chuàng)建新案件 197
4.5.3 添加取證分析的原始證據(jù) 199
4.5.4 基本界面和操作 200
4.5.5 進行磁盤快照 203
4.5.6 使用過濾器 205
4.5.7 搜索數(shù)據(jù)信息 208
4.5.8 提取文件 209
4.5.9 生成報告 212
應用實訓 213
拓展練習 215
項目5 針對多媒體進行取證 216
學習目標 216
項目說明 216
項目任務 217
基礎知識 217
5.1 數(shù)字多媒體基礎 217
5.1.1 灰度圖像 217
5.1.2 彩色圖像 217
5.1.3 調色板圖像 219
5.2 數(shù)字圖像內容認證技術基礎 220
5.2.1 數(shù)字圖像內容篡改的現(xiàn)狀 220
5.2.2 數(shù)字圖像的篡改方法 220
項目分析 222
項目實施 222
5.3 任務一：對簡單數(shù)據(jù)隱藏進行分析 222
5.3.1 針對最簡單的數(shù)據(jù)隱藏方式進行分析 223
5.3.2 插入式數(shù)據(jù)隱藏 224
5.4 任務二：利用隱寫分析技術分析可疑圖像 227
5.4.1 數(shù)字隱寫和隱寫分析技術 228
5.4.2 數(shù)字圖像隱寫術基礎 228
5.4.3 利用簡單的數(shù)字圖像隱寫術隱藏數(shù)據(jù) 231
5.4.4 針對簡單數(shù)字圖像隱寫術的分析取證 235
5.5 任務三：數(shù)字圖像內容真實性認證 236
5.5.1 數(shù)字圖像內容認證技術概略 236
5.5.2 數(shù)字圖像內容認證案例分析 239
應用實訓 241
拓展練習 242
參考文獻 243

1. 零基礎玩轉國產大模型DeepSeek [徐永冰 張帥 編著]
2. 網(wǎng)絡工程師5天修煉（適配第6版考綱） [主編　朱小平 施游]
3. 信息系統(tǒng)項目管理師考試32小時通關（適用第4版考綱） [薛大龍]
4. 信息系統(tǒng)管理工程師考試32小時通關（適配第2版考綱） [薛大龍　劉偉]
5. 土木工程材料檢測實訓 [洪曉江 達則曉麗 錢波]
6. 科技信息檢索與論文寫作實用教程 [李振華]
7. 傳統(tǒng)山水畫論解讀與實踐 [陳鈉 著]
8. Python數(shù)據(jù)庫編程 [主編 殷樹友 邢 翀]
9. 計算機基礎實訓指導 [主編 袁春萍 朱妮]
10. 嵌入式人工智能技術應用（數(shù)字教材） [主編 胡娜 楊國勇 晏廷榮]
11. Vienna整流器技術 [桂存兵 著]
12. 變頻器與伺服應用 [陳剛 葉云飛]
13. 物聯(lián)網(wǎng)工程設計與實踐 [湯琳 李敏]
14. 爐邊夜話——深入淺出話AI [汪建　著]
15. 電商運營與管理 [鐘肖英 陳瀟]
16. Java面向對象程序設計 [主編 姜春磊 陳虹潔]
17. 信息技術基礎（Windows 10+WPS Office）（微課版） [主編　石利平　田輝平　謝盛嘉]
18. 人工智能應用 [主編　陳　萍　劉培培　陳孟軍]
19. 大學生職業(yè)發(fā)展與就業(yè)指導 [主編　劉志堅]
20. 高級辦公應用項目教程 [主編 屈晶 趙成麗]
21. 微信小程序開發(fā)項目實戰(zhàn)（微課版） [主編 黃龍泉 郭峰 朱倩]
22. 企業(yè)檔案工作實戰(zhàn)寶典百問百答 [華俊 盧秀英 邵甜甜 著]
23. 計算機網(wǎng)絡原理及應用 [主編 唐繼勇 葉坤 孫夢娜]
24. 大學生創(chuàng)業(yè)基礎 [主編 王麗莉 王 楊]
25. 船舶輔機 [主編 王連海 于洋 姜淑翠]
26. 大學生就業(yè)指導 [主編 王麗莉 董宴廷]
27. 系統(tǒng)架構設計師章節(jié)習題與考點特訓 [主編 薛大龍 鄒月平]
28. 高校學生工作探索與實踐 [郭亮 著]
29. 大學生情商管理 [方雄 著]
30. 2023年長沙市會展業(yè)發(fā)展報告 [主編 周棟良]