首先，在ＵＳＢ设备中建立\tools和\evidence目录。

在\tools目录中准备好PsFile, PsList,PsLogList，fciv工具。

防火墙默认是阻止工具运行的，需要在防火墙中放开工具

访问ＵＳＢ设备

j:
cd tools




date /t > j:\evidence\mdevidence.txt
time /t >> j:\evidence\mdevidence.txt


3.

j:
cd tools
psexec \\hqloan164 systeminfo >> j:\evidence\mdevidence.txt
psexec \\hqloan164 ipconfig /all >> j:\evidence\mdevidence.txt
psexec \\hqloan164 arp -a >> j:\evidence\mdevidence.txt
psexec \\hqloan164 netstat -b >> j:\evidence\mdevidence.txt
psexec \\hqloan164 schtasks >> j:\evidence\mdevidence.txt

4.

psfile \\hqloan164 >> j:\evidence\mdevidence.txt
pslist -t \\hqloan164 >> j:\evidence\mdevidence.txt
psloglist -s \\hqloan164 >> j:\evidence\mdevidence.txt
psloglist -s sec \\hqloan164 >> j:\evidence\mdevidence.txt

• PsFile 展示打开的文件。不需要在目标机上运行该程序。
• PsList 可以展示进程和线程
• PsLogList 可以收集安全日志


5.


doskey /h > j:\evidence\mdevidence-doskey.txt

6.
设定ＭＤ５校验和


fciv j:\evidence\mdevidence.txt >> j:\evidence\md5mdevidence.txt


在http://support.microsoft.com/default.aspx?scid=841290
　http://www.microsoft.com/china/technet/security/guidance/disasterrecovery/a9a5c2a9-cce3-4edb-a92c-10983899240a.mspx
下载以上文件
如果要查看目标机的文件

psexec \\hqloan164 cmd
cd c:\documents and settings\mdanseglio\my documents
dir /s

公民享有通迅不被截获的权利。因此取证时需要联络好司法机关。通常取证活动需要高端的培训，而且需要昂贵的工具。以上实例展示了如何用免费的工具进行初级的取证。