学习电子数据取证要做什么准备¶
准备是两方面的，一方面是设备与工具，另一方面是关于计算机的基础知识。
基本要求¶
一台电脑¶
需要满足以下要求：
- 操作系统：Windows 操作系统（x64 架构），大多数商业化取证（分析）软件运行在 Windows 平台上。
- 内存：16 GB 以上可以比较顺利地进行取证。
- CPU：没有太多要求，性能充足即可。
- GPU：在一些可使用 GPU 加速运算的情况下需要，例如通过 Nvidia CUDA API 加速 HashCat 的哈希爆破。
- 存储设备：需要大容量 SSD 硬盘，电脑内置或移动硬盘均可。近几年比赛的检材容量大多在 200 GB 以上，在 2023 年的“美亚杯”中甚至出现了约 1 TB 大小的检材。
知识储备¶
电子数据取证是一个非常狭窄又非常广泛的领域。
说取证狭窄，是因为取证事实上作为一种司法手段存在，尽管电子数据取证与网络空间安全相结合，含义也从原本单纯的司法层面扩展到了技术层面，但其运用场景依然非常局限。
说取证广泛，是因为取证技术涉及到的知识面相当广泛，包括但不限于操作系统、计算机组成、计算机网络、逆向工程、代码编写在内的诸多知识。虽不需要对这些领域全部精通，但至少需要具备基本理解。
对于西电网信院的同学而言，这些知识大多集中在大一至大二期间的专业课中，并且也开设了“电子数据取证”选修课。
工具清单¶
这里有赛前准备的工具与练习方法，以及可能会遇到的一些问题。
硬件设备¶
- 高性能取证笔记本电脑及取证塔: 西电取证实验室配备联想 Y9000X 与戴尔台式工作站
- 大容量移动SSD: 三星 T5 1TB SSD
- USB 扩展坞
软件工具¶
以下软件及工具作为参考，均可用同类型软件及工具替代。
- 综合取证软件 (介质取证软件)
- 弘连火眼证据分析 (手机 & 计算机)
- 盘古石计算机取证分析系统 (计算机)
- 盘古石手机取证分析系统 (手机)
- 美亚取证大师 (计算机)
- 美亚手机大师 (手机)
- Magnet AXIOM (适用于海外应用)
- 系统仿真软件
- 弘连火眼仿真取证
- 盘古石计算机仿真系统
- 盘古石手机仿真系统
- APP 自动分析软件
- 弘连雷电 APP 智能分析
- 盘古石星源 APP 溯源分析平台
- IoT 取证软件
- 弘连物联网取证
- 无人机相关
- CsvView
- DatCon
- DJI Assistant 2
- dji-log-parser
- phantom-decoder
- TXTlogToCSVtool
- 硬盘取证工具
- X-Ways Forensics
- DiskGenius
- FTK Imager
- UFS Data Recovery (Raid 重组)
- 内存取证工具
- Volalility
- Volatility 3
- mimikatz
- 逆向工具 & 恶意程序分析
- IDA Pro
- dnSpyEx
- Detect It Easy
- JEB
- PEStudio
- 各种版本的 UPX
- 流量分析
- WireShark
- 科来网络分析系统
- 数据库
- Navicat Premium
- SQLite Studio
- DB Browser for SQLite
- 虚拟机
- VMware Workstation Pro
- 雷电安卓模拟器
- 密码破解
- Elcomsoft Forensic Disk Decryptor (硬盘解密)
- Passware Kit Forensic
- HashCat & john
- 弱口令字典
- 其它工具
- VeraCrypt (加密容器)
- OBS Studio (录屏工具)
- Offline Map Maker (离线地图)
- PicPick (截图工具)
- LocalSend (局域网文件传输)
- HedgeDoc\CodiMD (私有在线文档)
- VSCode (代码编辑器)
- 010 Editor (十六进制编辑器)
- IrfanView (图片及图片信息查看器)
- BIP-39 (加密货币钱包地址工具)
- CyberChef (加解密 & 编解码工具)
- phpstudy (WEB 集成环境, 用于站点重构)
- 虚拟机系统
- Windows 10
- Linux (Ubuntu, Debian, etc. 比较常用的发行版)
- MacOS (黑苹果)