首先，在ＵＳＢ设备中建立\tools和\evidence目录。
在\tools目录中准备好du工具。 进入个人文件夹：c: cd "documents and settings\mdanseglio\my documents\personal" 2.日期和时间： date /t > f:\evidence\mdevidence2.txt time /t >> f:\evidence\mdevidence2.txt Ｎote The USB drive is designated as drive F: on Mike’s computer. 3. dir /ta >> f:\evidence\mdevidence2.txt dir /tc >> f:\evidence\mdevidence2.txt dir /tw >> f:\evidence\mdevidence2.txt 4. 访问ＵＳＢ设备： f: cd tools 5. 收集文件信息：du工具利用-l 5参数输入文件和子文件信息，如下图： du –l 5 du –l 5 >> f:\evidence\mdevidence2.txt 6. 把有嫌疑的文件拷贝到ＵＳＢ设备中 f: md evidence_files c: cd \documents and settings\mdanseglio\my documents\personal xcopy *.* f:\evidence_files /s /e /k /v 7. 检查回收站文件：

[ 本帖最后由 kenknigh 于 2008-1-9 09:33 编辑 ]

请问，取证是什么意思？
前提是什么？
请明示。

不明白

我也不明白。是数字证书吗

计算机取证常识

文章作者：wetu

什么是计算机取证?

计算机取证收 集和处理计算机上的所有证据，不光是硬盘里的数据，也包括了CD， DVD。人们可能没有认识到他们在计算机所做的一切，例如浏览网页，使用即时通等都会在计算机上留下线索。在美国计算机取证通常被用在对儿童色情犯罪，电 子欺诈，企业欺诈，恐怖活动的调查中。

证据恢复的步骤

证据恢复包括三个阶段：证据获取，证据分析，和证据报告。必须用正确的方法进行这些步骤，否则证据会不被法庭接受。

证据获取涉及从涉案计算机的存储媒介上（例如软盘，USB存储器，硬盘等）将数据传输到用做检查的计算机上。调查员必须保证原有媒介没有遭到改动，与复制数据和原有数据的一致性。

获取数据以后，调查员需要分析文件，邮件等以寻找线索。一些软件可以用来恢复删除掉的邮件，对加密文件解密，在文件中搜寻关键字等。

当证据准备好后，必须做一个报告列出找到的证据并说明与案件相关的理由。

[ 本帖最后由 kenknigh 于 2008-1-17 20:47 编辑 ]