Windows 系統取證

通常狀況下，當發現 Windows 系統受到入侵而須要對系統進行取證分析的時候，首先須要關閉系統，而後對硬盤進行按位（bit-level）備份。web 可是有些重要的入侵數據一旦關機每每會丟失。這些證據主要存在於被入侵機器的寄存器、緩存、內存中。主要包括網絡鏈接狀態、正在運行的進程等信息。這些數據被稱爲易失性數據。shell 主要的易失性數據包括：緩存 系統日期和時間 當前運行的活動進程 當前的網

>>阅读原文<<