第1章电子数据取证概述

1．1网络犯罪与网络安全

1．2电子数据概述

1．2．1电子数据的定义

1．2．2电子数据的理论基础

1．2．3电子数据的来源

1．2．4电子数据的特点

1．3电子数据取证概述

1．3．1电子数据取证的发展

1．3．2电子数据取证的概念

1．3．3电子数据取证的应用领域

1．3．4电子数据取证架构

1．3．5电子数据取证与应急响应的区别

1．3．6电子数据取证与公证的区别

1．3．7电子数据取证与数据恢复的区别

1．4国内外电子数据取证的发展概况

1．4．1国外电子数据取证发展概况

1．4．2我国电子数据取证发展概况

1.4.3电子数据取证的学术发展

1．5电子数据取证面临的困难

1．6电子数据取证人员的素质要求

1．6．1取证技术与意识

1．6．2法律素养

1．6．3职业道德

1．7电子数据取证的发展趋势

1．8本章小结

思考题

第2章电子数据取证基础知识

2．1计算机基础知识

2．2计算机硬件知识

2．3存储介质基础知识

2．3．1机械硬盘

2．3．2闪存

2．3．3存储器指标

2．4网络基础知识

2．4．1网络的分类

2．4．2网络体系结构

2．4．3网络协议

2．5操作系统

2．5．1主要操作系统简介

2．6数据组织

2．6．1数据组织的常识

2．6．2分区结构

2．6．3文件系统

2．7数制

2．7．1数制

2．7．2数制间的转换

2．8数据的存储单位

2．9数据获取

2．9．1数据获取

2．9．2数字校验

2．10文件过滤

2．11数据搜索

2．11．1字节顺序

2．11．2编码与解码

2．11．3关键词搜索

2．12数据恢复原理

2．12．1逻辑数据恢复原理

2．12．2物理修复原理

2．13数据分析

2．13．1数字时间原理

2．13．2文件挖掘

2．13．3网络数据分析

2．14密码破解

2．14．1密码学基础

2．14．2解密原理与方法

思考题

第3章电子数据的法律规则和标准体系

3．1电子数据的法律规则

3．1．1英美法系

3．1．2大陆法系

3．2我国关于电子数据的相关立法

3．2．1法律

3．2．2司法解释

3．2．3规范性文件

3．3部门和行业对于电子数据的相关规定

3．4电子数据与其他证据的区别

3．4．1电子数据与视听资料的区别

3．4．2电子数据与物证的区别

3．4．3电子数据与书证的区别

3．4．4电子数据与勘验、检查笔录的关系与区别

3．5电子数据审查

3．6国际电子数据取证的标准体系

3．6．1国际电子数据取证标准体系概述

3．6．2国际电子数据取证指南简介

3．7我国电子数据取证标准

3．8本章小结

思考题

第4章电子数据取证原则与流程

4．1电子数据取证的原则

4．2电子数据取证的流程

4．2．1评估

4．2．2获取

4．2．3分析

4．2．4报告

4．3典型的电子数据取证流程

4．3．1单机环境电子数据取证

4．3．2网络环境电子数据取证

4．4本章小结

思考题

第5章电子数据取证工具

5．1取证工具概述

5．1．1电子数据取证工具的发展

5．1．2电子数据取证工具的标准

5．2取证硬件

5．2．1写保护设备

5．2．2镜像设备

5．2．3现场勘验设备

5．2．4介质取证设备

5．2．5移动终端取证设备

5．2．6数据恢复设备

5．3取证软件

5．3．1介质取证软件

5．3．2Mac OS系统取证软件

5．3．3UNIX/Linux系统取证软件

5．3．4镜像软件

5．3．5系统环境仿真软件

5．3．6数据恢复软件

5．3．7电子邮件分析软件

5．3．8密码破解软件

5．3．9内存取证软件

5．3．10在线取证软件

5．3．11关联分析工具

5．4开源和免费取证软件

5．5未来取证工具的发展

思考题

第6章电子数据取证技术

6．1数字时间取证

6．1．1取证环境时间校正和同步

6．1．2取证目标的时间检查

6．1．3时间的更新规律

6．1．4时间取证的基本判断规则

6．1．5文件系统创建时间

6．1．6操作系统安装时间

6．1．7开机和关机时间

6．1．8访问时间的证据效力

6．2Windows取证

6．2．1Windows重点目录

6．2．2浏览器取证

6．2．3注册表取证

6．2．4电子邮件取证

6．2．5回收站取证

6．2．6聊天应用取证

6．2．7内存取证

6．2．8日志取证

6．3Mac OS系统取证

6．3．1苹果计算机和Mac OS操作系统概述

6．3．2Mac OS动态取证

6．3．3Mac OS静态取证

6．3．4小结

6．4UNIX/Linux取证分析

6．4．1UNIX/Linux操作系统简介

6．4．2Linux发行版本

6.4.3Linux文件系统

6.4.4Linux取证实战

6.4.5小结

6.5移动终端取证

6.5.1移动终端概述

6.5.2移动终端取证概述

6.5.3移动终端取证基础知识

6.5.4移动终端的取证原理

6.5.5移动终端取证的流程

6.5.6移动终端取证实战

6.5.7小结

6.6网络电子数据取证

6.6.1网站服务器取证

6.6.2IP地址的取证

6.6.3路由器的取证

6.6.4MAC地址相关的取证

6.6.5VPN的取证

6.6.6获取网络数据流信息

6.7密码破解

6.7.1BIOS密码破解

6.7.2操作系统类加密的破解

6.7.3文件类加密的破解

6.7.4浏览器类密码的破解

6.7.5移动设备类密码的破解

6.8Office文件取证

6.8.1Office文件结构

6.8.2Office文件取证

6.8.3小结

6.9数字图像取证

6.9.1数字图像取证简述

6.9.2数字图像取证与声像资料取证的区别

6.9.3数字图像的文件命名规律

6.9.4数字图像的格式（EXIF）

6.9.5EXIF分析

6.10病毒和恶意代码取证

6.10.1恶意代码简介

6.10.2恶意代码取证技术

6.10.3恶意代码分析实例

6.10.4小结

6.11逻辑数据恢复

6.11.1系统级数据恢复

6.11.2嵌入式硬盘录像机数据恢复

6.11.3小结

6.12硬件修复

6.12.1硬盘固件的修复

6.12.2硬盘物理故障修复

6.12.3芯片级物理故障修复

6.12.4小结

6.13数据库取证

6.13.1数据库的概念

6.13.2主流数据库介绍

6.13.3结构化查询语句

6.13.4数据库存储结构

6.13.5数据库取证

6.13.6数据库的在线取证

6.13.7数据库离线取证

6.13.8小结

6.14系统环境仿真取证

6.14.1虚拟机技术

6.14.2系统环境仿真取证原理

6.14.3系统环境仿真取证实战

思考题

第7章电子数据勘验和检查

7.1电子数据勘验和检查概述

7.1.1网络犯罪现场和传统犯罪现场的区别

7.1.2电子数据勘验检查和鉴定检验的联系和区别

7.1.3电子数据勘验和检查的原则

7.2电子数据现场勘验

7.2.1电子数据现场勘验的任务及组织

7.2.2电子数据现场勘验的流程

7.3远程勘验

7.4电子证物检查

7.5勘验笔录制作

7.5.1勘验笔录的定义和作用

7.5.2现场勘验笔录文书的制作

7.5.3远程勘验笔录文书的制作

7.6本章小结

思考题

第8章电子数据鉴定和检验

8.1鉴定和检验的概念

8.1.1鉴定

8.1.2检验

8.2鉴定和检验的法律要求

8.3鉴定和检验的应用范围

8.4国内外鉴定和检验现状

8.4.1国外司法鉴定现状

8.4.2国内鉴定和检验现状

8.5鉴定和检验资质

8.5.1鉴定机构的要求

8.5.2鉴定人的要求

8.5.3检验机构和检验人的要求

8.6电子数据鉴定/检验

8.6.1电子数据鉴定/检验的法律要求

8.6.2电子数据鉴定/检验的资质问题

8.6.3电子数据鉴定/检验的特点

8.6.4电子数据鉴定/检验的应用范围

8.6.5电子数据鉴定/检验面临的困难和挑战

8.6.6电子数据鉴定/检验的流程

8.7鉴定意见/检验报告的审查

8.8鉴定/检验人出庭作证制度

8.8.1鉴定/检验人出庭的准备

8.8.2庭审中注意事项

8.8.3遇到特殊情况的处理

8.9本章小结

思考题

第9章实验室建设和认可

9.1电子数据取证实验室的发展历程

9.1.1国外电子数据取证实验室的发展

9.1.2国内电子数据取证实验室的发展

9.2实验室建设原则

9.3实验室建设的标准和规范

9.4未来电子数据取证实验室的发展

9.5实验室认可概述

9.5.1合格评定、认证与认可概述

9.5.2实验室认可的概念

9.5.3国际实验室认可情况

9.5.4实验室认可在中国的发展情况

9.5.5实验室认可的概念

9.5.6实验室认可的作用和意义

9.6司法鉴定/法庭科学实验室认可

9.6.1国际法庭科学实验室认可的发展

9.6.2我国司法鉴定/法庭科学实验室认可的发展

9.6.3实验室认可与资质认定的区别

9.6.4实验室认可与司法鉴定/检验的关系

9.6.5授权签字人与鉴定人的关系

9.6.6司法鉴定/法庭科学认可的标准

9.6.7司法鉴定/法庭科学认可的领域和方法

9.7电子数据取证实验室认可

9.7.1国内外电子数据取证实验室认可

9.7.2CNASCL27： 2014《司法鉴定/法庭科学机构能力认可准则

在电子物证鉴定领域的应用说明》要点

9.7.3电子数据取证实验室认可流程

9.8能力验证

9.8.1实验室参加能力验证的基本流程

9.9本章小结

思考题

第10章电子数据取证实例

10.1电子数据存在性取证

10.1.1电子数据存在性取证的定义

10.1.2电子数据存在性取证的方法

10.1.3电子数据存在性取证针对的案件类型

10.1.4电子数据存在性取证的思路

10.1.5电子数据存在性取证案例

10.2电子数据同一性取证

10.2.1电子数据同一性取证定义

10.2.2电子数据同一性取证

10.2.3电子数据同一性取证针对的案件类型

10.2.4电子数据同一性取证的思路

10.2.5电子数据同一性取证案例

10.3电子数据行为性取证

10.3.1电子数据行为性取证定义

10.3.2电子数据行为性取证的方法

10.3.3电子数据行为性取证针对的案件类型

10.3.4电子数据行为性取证的思路

10.3.5电子数据行为性取证案例

10.4电子数据功能性取证

10.4.1电子数据功能性取证的定义

10.4.2电子数据功能性取证的方法

10.4.3电子数据功能性取证针对的案件类型

10.4.4电子数据功能性取证的思路

10.4.5电子数据功能性取证案例

思考题

附录

附录ABase64编码

附录B秒单位转换

附录C时间定义

附录DWindows各版本重点目录和文件对比表

附录E电子数据取证标准(国家标准和公共安全行业标准)

附录F现场勘验记录

附录G电子数据检验鉴定意见书

参考文献