Windows 系统取证

通常状况下，当发现 Windows 系统受到入侵而须要对系统进行取证分析的时候，首先须要关闭系统，而后对硬盘进行按位（bit-level）备份。web 可是有些重要的入侵数据一旦关机每每会丢失。这些证据主要存在于被入侵机器的寄存器、缓存、内存中。主要包括网络链接状态、正在运行的进程等信息。这些数据被称为易失性数据。shell 主要的易失性数据包括：缓存 系统日期和时间 当前运行的活动进程 当前的网

>>阅读原文<<