FTK实战应用PDF电子书下载

第一章 FTK Imager使用相关 3

第一节 FTK Imager关于镜像文件制作的相关功能 3

一、镜像文件制作流程 3

二、使用Imager制作镜像文件中的注意事项 4

第二节 FTK Imager关于镜像文件格式转换与挂载的功能 5

一、格式转换DD/E01文件互相转换，其他格式文件转换成DD/E01 5

二、FTK Imager关于镜像文件挂载的功能 6

第三节 FTK Imager与现场取证相关的功能 8

一、开机状态下，获取目标计算机的注册表文件 8

二、开机状态下，获取目标计算机内存 10

三、开机状态下，检测目标计算机上是否含有EFS加密文件 10

四、重要提示 11

第二章 FTK注册表分析工具——Registry Viewer 15

第一节 注册表及注册表文件 15

第二节 注册表文件的获取 18

第三节 注册表文件分析 20

一、启动、加载 20

二、添加感兴趣的内容 21

三、制作报告 22

四、说明 26

第三章 FTK过滤器Filter 28

第一节 过滤器简介 28

第二节 新建过滤器 30

第三节 过滤器的分类 32

第四节 预置过滤 33

第五节 复合过滤 38

第六节 嵌套过滤 40

第七节 搜索过滤 42

第八节 过滤器的共享 43

第四章 FTK关键字搜索 48

第一节 搜索在证据检验中发挥的作用 48

第二节 FTK预处理中的设置 49

一、dtsearch文本索引 49

二、光学字符识别（OCR） 51

第三节 FTK搜索功能的应用 53

一、FTK实时文本搜索 53

二、实时十六进制搜索 55

三、实时正则表达式搜索 55

四、索引搜索 59

五、TR1正则表达式的应用指南 63

六、索引搜索数字组合的正则表达式应用 68

七、FTK中关键词搜索与其他功能的联动 71

八、如何能够高效找到目标信息 74

第五章 FTK数掘挖掘与元挖掘 81

第一节 什么是数据挖掘 81

一、数据丢失或损坏的原因 81

二、数据挖掘中可能涉及的因素 82

三、文件签名与数据挖掘 83

四、数据挖掘与数据恢复 84

五、FTK中对数据挖掘的处理和管理 85

第二节 FTK中的数据挖掘模块及其应用 86

一、数据挖掘处理设置 86

二、FTK中数据挖掘工具 90

三、管理数据挖掘工具 97

四、数据挖掘结果解析 99

五、高级数据挖掘技巧及应用——手动挖掘模式 101

六、FTK挖掘优势 103

第三节 FTK中的元挖掘 105

第六章 电子邮件检测分析 110

第一节 概述 110

一、电子邮件的内容以及地址格式 111

二、主流电子邮件客户端 111

三、FTK所适用的电子邮件类型 112

第二节 如何利用FTK来分析电子邮件 114

一、电子邮件数据分析选项卡页面布局 114

二、FTK解析电子邮件目录树分项解释 117

三、其他标签页 128

四、文件列表 129

五、导出电子邮件 130

第七章 Internet／聊关软件分析 135

第一节 FTK Internet／聊天软件预处理相关选项 135

一、展开复合文件 135

二、数据挖掘选项 137

三、Process Internet Browser History for Visualization 138

第二节 Internet信息展示 140

第三节 聊天软件检材分析 148

第八章 FTK可视化及社会化分析 150

第一节 什么是可视化 150

一、运行可视化分析 151

二、可视化分析的界面 151

第二节 时间线 153

一、基础时间线 153

二、设置基础时间线 154

第三节 可视化文件数据 155

一、配置可视化文件数据 155

二、根据文件扩展名创建可视化视图 156

三、文件种类分布可视化 156

四、文件数据列表 157

第四节 邮件数据可视化分析 158

一、选定邮件时间线 159

二、查看邮件统计 159

三、查看邮件细节列表 159

四、在邮件可视化中分析邮件域 160

五、可视化中分析单独邮件 161

六、将邮件分析结果加入到FTK分析中 161

七、使用细节化时间线 161

第五节 可视化浏览历史文件数据 163

第六节 可视化其他种类数据 164

第七节 可视化热点图 165

第八节 社会化分析 166

一、使用社会化分析 167

二、社会化分析选项 168

第九节 可视化中的定位信息 169

一、定位功能使用需求 170

二、查看带有EXIF信息的数据 170

三、查看IP地址地理位置数据 171

第九章 内存分析与打印文件分析 174

第一节 内存分析概述 174

一、Windows操作系统下的hiberfil.sys与pagefile.sys文件 175

二、hiberfil.sys文件 175

三、pagefile.sys文件 176

四、模拟案例分析 177

第二节 打印文件的分析与取证 179

一、假打印文件的形成过程 179

二、Windows系统中假脱机打印文件存放的位置 180

三、假脱机打印文件的特性 180

第十章 利用FTK对手机镜像进行分析 184

第一节 利用FTK对手机镜像文件分析的目的 184

第二节 FTK处理手机镜像文件示例 185

一、加载方式 185

二、典型手机镜像文件加载示例 186

附录：为FTK建立良好的运行环境 189