以下文章来源于：凌风小屋

专注于电子数据取证领域创作和分享

详细介绍了获取 APK /IPA 安装包的方法。重点讲解了 APK 静态分析的核心内容，打包公司证据核验的关键点，借助 jadx 和 APK Messenger 等工具，解析应用的基本信息、权限、签名、源码和隐藏的 URL。

来源：凌风小屋

Android应用程序包（英语：Android application package,APK）是Android操作系统的一种应用程序包文件格式，用于分发和安装移动应用及中间件。Android应用程序的代码在Android设备上运行必须先进行编译，打包成为”APK“。

IPA文件是Apple程序应用文件iPhoneApplication的缩写。实质是一个zip压缩包，也就是一个苹果应用文件，简称ipa文件。

APP通常以二维码形式分享下载，利用https://cli.im/deqr草料二维码解码器可以转换为网址链接固定和下载APK。也可以从目标人手机上直接提取安装包。

建议使用：谷歌浏览器、Microsoft Edge浏览器下载

打开网址后，点击谷歌浏览器右上角的三点（自定义及控制）-->更多工具-->开发者工具。点击Network,Ctrl+R。选择其中.apk结尾的下载。

方式：使用下载链接用谷歌浏览器打开后抓包获取下载链接

例如：下载链接http://1XX.1XX.1XX.XX:1234/app.php,打开网址后，点击谷歌浏览器右上角的三点（自定义及控制）-->更多工具-->开发者工具。Ctrl+R键后，找到http：//XXXXXXX.plist文件。如图1所示：

图1

下载.plist文件，用记事本打开后Ctrl+F搜索.ipa定位到.ipa下载链接。如图2所示：

图2

复制链接在浏览器中打开即可自动下载。

可使用的工具有：jadx、Visual Studio Code、APK Messenger等等。

使用APK Messenger，直接把apk文件拖入工具即可显示出应用名、包名、版本名、版本号、加固信息等。点击星号位置还可以查看apk使用的相关权限。如图3所示：

图3

使用jadx，打开 jadx-gui，点击菜单栏 File → Open，选择目标 APK 文件。或者直接把apk文件拖入工具即可。找到左侧文件目录结构栏里AndroidManifest.xml：应用配置清单（权限、组件、元数据等）。查看应用名、包名、版本名、版本号等。如图4所示：

图4

图4界面左侧是 APK 的文件目录结构，包含以下关键部分：

源代码：
包含安卓应用的代码结构（如android.support、com等包名目录）。


资源文件：
assets：存储应用的资源文件（如配置、多媒体等）。
lib：存放 Native 层的 so 库（若有）。
META-INF：存储 APK 的签名信息等。
res：存储应用的资源（如布局、图片、字符串等）。
AndroidManifest.xml：被选中的核心配置文件，是安卓应用的 “说明书”，记录应用的权限、组件、版本等关键信息。
classes.dex：安卓应用的字节码文件，是 Java/Kotlin 代码编译后的产物。
resources.arsc：资源索引文件，用于管理res目录的资源映射。
APK signature：APK 的签名信息，用于验证应用的完整性和开发者身份。

图4界面右侧AndroidManifest.xml内容解析：

AndroidManifest.xml是安卓应用的核心配置文件，这里显示了关键配置：

应用基本信息：
versionCode="1"：应用内部版本号（用于版本迭代区分）。
versionName="0.0.1"：对外展示的版本号。
compileSdkVersion="29"：编译时使用的安卓 SDK 版本（对应安卓 10）。
package="com.XXX.XXX"：应用的包名（唯一标识应用）。
targetSdkVersion="28"：应用针对的安卓 SDK 版本（对应安卓 9）。


权限声明：应用申请了一系列敏感权限，如：
网络类：android.permission.INTERNET（联网权限）、ACCESS_NETWORK_STATE（获取网络状态）。
存储类：WRITE_EXTERNAL_STORAGE（写入外部存储）。
位置类：ACCESS_COARSE_LOCATION（粗略位置）、ACCESS_FINE_LOCATION（精确位置）。
硬件类：CAMERA（相机）、VIBRATE（振动）、FLASHLIGHT（闪光灯）等。
其他敏感权限：READ_PHONE_STATE（读取手机状态）、RECORD_AUDIO（录音）、BLUETOOTH_ADMIN（蓝牙管理）等。

直接在jadx中用快捷键 Ctrl+Shift+F（全局搜索）搜索“http”，查看源码中可能隐藏/调用的相关网址。如图5所示：

图5

这类网站主要提供以下功能:

①在代码中，HttpPost和HttpParams等逻辑用于初始化HTTP请求，相应的url是应用程序与后端服务交互的接口地址（例如数据提交、用户信息获取、业务逻辑处理等）。

②用于调用 APICloud等第三方平台的 API 网址，实现推送通知、统计、支付等功能。

③用于加载远程页面、图片、配置文件等资源，支持应用程序的跨平台界面和功能显示。

其他的关键函数搜索：

用快捷键 Ctrl+Shift+F（全局搜索）查找敏感函数或关键词，例如：

网络请求：HttpURLConnection、OkHttpClient、Retrofit（定位 API 接口）。

数据存储：SharedPreferences、SQLiteDatabase（查找存储的敏感数据）。

加密逻辑：AES、RSA、MD5、SHA（定位加密算法实现）。

权限相关：checkSelfPermission、requestPermissions（分析权限使用场景）。

类和方法关系：右键点击类名或方法名，选择 Find Usages 可查看被调用的位置，梳理代码调用链。

匿名类和内部类：Jadx 会将匿名类命名为 类名$数字（如 MainActivity$1），需结合上下文理解其作用（如回调接口实现）。

图片和二进制资源：res/drawable、res/mipmap 中的图片，或 res/raw 中的二进制文件（可能包含配置文件、证书等）。

常见的打包公司有Dcloud（北京数字天堂公司）、apicloud（柚子科技）等

用jadx搜索“APPID”可以查看到打包公司apicloud为柚子(北京)科技有限公司，APPID为APICloud 平台为应用分配的唯一标识（类似应用的 “身份证”），用于关联开发者账号和应用资源。即可去调证。如图6所示：

图6

APP打包公司可调证内容，如图7所示：

图7

 此文如有错误欢迎沟通指正。使用相关工具和方法时须严格遵守法律法规及道德准则，同时亦欢迎其他相关问题和策略的探讨。

跳转微信打开

以下文章来源于：凌风小屋

专注于电子数据取证领域创作和分享

使用相关工具和方法时须严格遵守法律法规及道德准则

来源：凌风小屋

VC和TC是两种常见的磁盘加密软件。它们能够对硬盘、U盘等存储设备进行加密，从而保障数据安全。在使用这些软件进行加密时，需选择加密的存储设备、设置密码及加密方式等参数。解密时，仅需输入正确密码即可访问加密的存储设备。

VC和TC加解密方式类似，此处以VC为例，阐述创建和解密文件型加密卷的方法：

启动VC软件，选择创建加密卷。接着选择创建文件型加密卷，并点击下一步。如图1.1~1.2所示：

图1.2

选择加密卷类型，通常为标准加密卷。点击下一步。如图1.3所示：

图1.3

【注意】隐藏型加密卷包含两层密码，这在计算机取证中可能构成难题。如图1.4所示：

图1.4

点击选择文件，确定存放位置并命名，点击保存，然后点击下一步。如图1.5所示：

图1.5

设置加密密钥、加密算法及加密卷大小（确保大小小于存放位置所在磁盘的剩余容量）。点击下一步。如图1.6~1.7所示：

图1.6图1.7

设置加密卷密码或密钥文件，简短密码易受攻击，建议使用超过20个字符的密码。点击下一步，然后点击格式化即可。如图1.8~1.9所示：

图1.8

图1.9

等待加密卷创建成功。如图1.10所示：

图1.10

方法一：VC软件的自动解密机制

启动VC软件，随机选择盘符，这里选择了A盘。将加密卷拖入箭头所指位置，点击加载。输入预设密码或者导入密钥文件，点击确定。如图2.1所示：

图2.1

加密卷解密完成后，电脑上将新增一个盘符，此时即可查阅其中的文件。如图2.2所示：

图2.2

方法二：Passware Kit在解密加密卷密码中的应用

使用passwarekit进行解密

选择加密卷，如图2.3所示：

图2.3

选择加密容器类型，如图2.4所示：

图2.4

选择要恢复的内容：恢复外部分区的密码、恢复隐藏分区的密码、恢复外部分区和隐藏分区的密码等。如图2.5所示：

加密算法（encryption algorithm）

哈希算法（Hash algorithm）

图2.5

选择解密方式（如遍历解密、字典攻击等）。

Use Predefined Settings（使用预定义设置）、Run Wizard （运行向导）、Advanced:Customize Settings（高级：自定义设置）此处选择高级：自定义设置。如图2.6所示：

图2.6

选择字典破密方式，custom添加字典完成后点击compile。如图2.7~2.8所示：

图2.8

等待密码解密完成，此过程可能耗时较长。如图2.9所示：

图2.9

请注意，上述工具的使用方法可能因版本或操作系统等因素而异。因此，在具体操作时，请务必参照工具的官方文档或用户手册以获取最准确的使用指南。同时，为确保个人隐私与数据安全，

请妥善保管加密密码和恢复密钥等重要信息。

VeraCrypt

【VeraCrypt怎么用？】

【VeraCrypt】如何取证？

跳转微信打开

从300G网盘数据中提取关键证据

【案件回顾】

一郎与美沙曾是一对令人羡慕的夫妻，育有可爱的儿子翔太。然而，2023年，一郎因经济犯罪入狱，家庭轨迹急转直下。在狱中，一郎出于信任，授权美沙变卖了家中三处房产。出狱后，正当一郎准备重整生活时，一个意外的发现让他瞬间崩溃。

儿子翔太用来学习的旧iPad，成了揭开所有真相的“钥匙”。由于美沙使用后未退出百度网盘，一郎在无意间发现了美沙与自己的好友“虾丸”的大量亲密照片和露骨聊天记录。进一步翻查，更多不堪的事实浮出水面：美沙不仅与虾丸发展为情人关系，还与其他男性存在不正当往来；更令人心寒的是，她以无钱为由拒绝支付儿子翔太的幼儿园费用，却同时冒用一郎的名义向朋友借款高达1000万元。

一郎决定提出离婚，并追回被变卖的房产以及被冒名借取的款项。而这一切行动的核心证据，都来源于那台小小的iPad。

【案件分析】

在这个案例中，翔太的iPad不仅仅是一个电子设备，它更是一个“数字证人”。而要让这个“证人”的证词被法庭采信，电子数据鉴定就扮演了至关重要的角色。它究竟有何优势？

电子数据鉴定的四大核心优势

1. 证据发现的“穿透力”：从“冰山一角”到“完整拼图”

美沙的百度网盘存有300G数据，亲密照片和聊天记录只是其中极小一部分。电子数据鉴定的首要优势，就是其强大的检索、恢复与关联分析能力。

深度挖掘：鉴定人员可以使用专业工具，恢复已被删除但未被覆盖的数据。美沙是否曾试图删除某些关键信息？鉴定可以将其“复活”。

全面筛查：通过关键词、时间线、哈希值比对等技术，鉴定人员可以从300G的庞杂数据中（包括文档、图片、视频、聊天记录备份等），精准筛选出所有与案件相关的信息，如：

其他不正当关系的证据。

冒名借款的电子借条、聊天记录或录音。

变卖房产资金流向的线索（如银行转账截图）。

证明其“并非无钱”的消费记录或资产证明。

这避免了仅凭一郎偶然看到的片段来判断，而是构建出一个完整、立体的证据体系。

2. 证据固定的“可信力”：防止“死不认账”

在法庭上，对方很可能质疑证据的真实性，例如：“这些照片是PS的！”“聊天记录是伪造的！”电子数据鉴定的第二大优势在于其严谨的证据固定流程。

哈希值校验：鉴定机构在提取数据时，会计算其唯一的“数字指纹”——哈希值。只要数据内容有一个字节的改动，哈希值就会完全不同。这确保了从iPad中提取的证据，与最终提交给法庭的证据，是完全一致的，未被篡改。

这意味着，美沙几乎无法否认这些来源于她自己账户的电子数据的真实性。

3. 证据链条的“构建力”：让“孤证”变“铁证”

单一的照片或聊天记录可能证明婚外情，但难以直接证明冒名借款或恶意转移财产。电子数据鉴定的第三大优势是构建跨平台、多类型的证据链条。

关联分析：鉴定可以将网盘中的证据与其他来源的证据进行关联。例如，通过网盘中的聊天记录找到借款的债权人，再通过银行流水验证资金是否进入美沙账户。

行为画像：通过分析美沙在网盘及其他应用中的行为数据（上传、下载、删除的时间规律等），可以辅助判断其主观意图，例如，在冒名借款前后，是否有相关的文件被上传或查阅。

这为追回被变卖房产和借款提供了强有力的支撑。

4. 证据形式的“说服力”：让法官“一目了然”

海量的原始数据对于法官来说是难以消化。电子数据鉴定的第四大优势是将杂乱的数据转化为清晰、直观的鉴定报告。

可视化呈现：取证报告能让复杂的案情一目了然。

结论明确：专业的鉴定机构会给出明确的鉴定意见，这份意见作为法定证据种类之一，具有很高的证明力，能极大地影响法官的心证。

【写在最后】

在一郎与美沙的案例中，那台旧iPad是幸运的“破局点”。但它所承载的电子数据，若没有经过专业、合法的鉴定，其证明力将大打折扣，甚至因取证程序不合法而被排除。

这个案例警示我们，在数字时代，电子足迹已成为记录我们行为的最忠实载体。当权益受到侵害时，第一时间寻求专业的电子数据鉴定服务，而非自己胡乱翻查，是将“数字痕迹”转化为“法庭利刃”的关键一步。 它不仅是技术手段，更是现代法律博弈中，决定胜负的重要战略武器。

来源：北京海存科仪司法鉴定中心

Windows注册表取证指引 —— 涉技术类案件证据固定与控告应用

跳转微信打开

如何处理非法定数字货币将成为一个难题，这需要基于《草案》的内容对执行方式进行新的探讨。

来源：人民法院报，作者：金昱杉 北华大学法学院、陈凤影 吉林省长春林区中级法院、张耀文 吉林省白石山林区基层法院

　　在数字经济迅猛发展的背景下，民事执行制度正面临着一个全新的重要课题——数字资产的强制执行。伴随当下数字化浪潮的汹涌推进，数字资产的内涵和外延不断拓展，其呈现形式愈发丰富多元，其价值性已经不可同日而语。在此情形下，围绕数字资产展开强制执行工作所牵涉到的各类问题，也呈现出日益复杂的态势。全面应对数字资产带来的诸多挑战，只有通过多方共同努力，构建一套科学完备、行之有效的数字资产强制执行制度，才能使债权人的合法权益得到切实有效的保障。一、确认将数字资产纳入法律保护的财产范围
　　强制执行程序单独立法是大势所趋，其关注点主要在于如何合情合理地处置被执行人的可支配财产，不同类型的财产需要配合不同类型的执行程序，避免因为外在客观的形态不同造成的不相适配的情况。值得关注的是，《中华人民共和国民事强制执行法（草案）》（以下简称《草案》）第一百条将“网络虚拟财产”列为可执行财产的范围内。相较于网络虚拟财产来说，数字资产的概念范围明显更加宽泛，也更加契合不断变化的数字经济发展现状。为了使得执行财产的范围调整更加契合时代发展趋势，建议立法过程中将“网络虚拟财产”一词修改为“数字资产”，并通过制定司法解释以明确可供执行的数字资产的范围。
　　另外，结合其他有关民法条文规范和数字资产的法律属性，设置“正面清单﹢负面清单”的协同规则，从正反两方面对此进行规制，明确合法的执行财产范围。正面清单通过准入性标准，将存在明文规定的数字资产纳入可供执行的财产。理论上，如果某类型的数字资产符合执行标的的构成要件，那么就归属于正面清单。负面清单则是通过否定性方式禁止某类型数字资产成为执行对象，利用负面清单框出一个明确的范围，明确禁止事项，对于当下发展不够成熟但迅速的数字资产而言，无疑是最佳助力，能够促进经济得到更好的发展。结合相关法律规定，可以将“法律禁止流通的数字资产”纳入负面清单当中，这样融合了实体法和程序法中的规范，使得执行案件中的当事人和执行部门都能更好地掌握执行标的范围。二、提倡实体资产与数字资产并重的执行模式
　　我国目前有关强制执行程序的规则可以概括为“一元模式”，即着重于实体资产的执行。现存的执行程序体系主要以实体财产为主，大部分的法院执行人员对实体财产的执行方式也更加熟悉，在实际操作中更加侧重于处置传统实体资产。有学者认为这一情况无法适应快速变化的时代要求，并建议在编撰民事强制执行法时应当为实体财产与虚拟财产设计相对应的执行标准体系，在条文中设置虚拟财产执行程序要求。
　　如今，数字资产获得大众认可且逐步占据交易市场，为了适应这一环境，应采用“实体财产与数字资产”二元并重模式。民事强制执行程序也应当重视数字资产在被执行人财产中的比重，寻找到合理的应对方法，为数字资产设立一套合适的执行程序，有效保护申请人的合法权益，防止被执行人利用其现实中无可执行的财产这一情况脱逃责任。同时，考虑到数字资产所蕴藏的价值性，已足以证明数据中蕴含的智能化水平能够帮助很多经济主体且能够创造出更大的经济价值，拥有巨大的发展潜力，因此采纳“二元模式”显然更加适应发展现状。三、强化数字资产调查的技术援助手段
　　数字资产具有高度的隐蔽性，这促使法院和执行人员在调查时积极采用新技术和新手段，破除“查人找物难”问题。一是借助科技的手段，构建数字资产查控全平台。搜集多方信息，明确平台功能、数据标准、安全规范等；行业机构也要积极配合，提供数据支持和接口对接，且需明确不得私自进行进而损害他人合法权益；吸纳专业人才队伍，规范执行流程体系，打造“能力强、工作棒”的执行队伍。二是合理应用电子冻结手段保障合法权益。由于数字资产具有匿名性、去中心化、流通范围广等特征，因此相比于传统的强制执行保全措施，“电子冻结”似乎是数字资产保全的更优解。当判决难以执行时，可以依靠相应的证据材料申请法院做出保全裁定，采用电子冻结措施，有效地保障债权人的合法权益，破解执行难题，维护司法权威。四、区别化对待不同类型的数字资产
　　由于数字资产的类型复杂，因此可以按照不同的类别去处置商品性数字资产和货币性数字资产。商品性数字资产以实物商品作为承载体，所以可以直接采用折价的方式来交付。常见的折价方式主要有拍卖、变卖、强制征收等方式，其中司法拍卖是程序最为完善的折价方式。针对常见的游戏账号、游戏装备等虚拟财产，主要通过司法拍卖的方式支付合理的对价，与普通可交易的商品一样，可适用传统的强制执行程序。
　　货币性数字资产分为法定数字货币和非法定数字货币。法定数字货币由中国人民银行发行，与人民币具有同样职能，执行法院可以通过划拨的方式直接将执行财产拨到申请认定的账户中。但是对于非法定数字货币，国家部委明确发布通知，强调虚拟货币不具有与法定货币等同的法律地位，虚拟货币相关业务活动都属于非法金融活动，因此其不应且不能作为货币在市场上流通使用，且无法通过折价的方式进行变现。那么，如何处理非法定数字货币将成为一个难题，这需要基于《草案》的内容对执行方式进行新的探讨。

阅读原文

跳转微信打开

各类型文件头与隐写术总结

来源：龙信，转自：网络安全与取证研究

跳转微信打开

当影像可以被随意伪造，“眼见为实”便成了一句空话。

来源：弘连网络

当影像可以被随意伪造，“眼见为实”便成了一句空话。我们正活在一个“看见也不等于真实”的时代，如何对AI生成的图片进行有效溯源与真伪鉴别，以及对其取证？

当前，许多AI生成平台（如豆包、Midjourney等）会在生成的图片上附加可见水印，下面就是一张豆包生成的图片，见图 1。

图1

但是这种水印很轻易就能去除，一旦水印被去除，图片便成为“无标识”状态，在网络中肆意流通，源头难以追溯。因此，如何在海量信息中精准鉴别AI生成图片，并对其进行有效的数字取证，已成为我们亟待攻克的关键课题。

隐形指纹，也称为稳健数字水印，是一种将不可见标识信息嵌入到数字图像中的技术。与传统水印不同，隐形指纹具备不可见性、唯一性和关联性三大核心特征，隐形指纹与传统水印的对比，见图 2。

图2

隐形水印技术按嵌入原理为核心划分为以下几类。

①空域方法：直接在像素空间修改数值，如最低有效位替换。特点是实现简单、容量大，但鲁棒性差，易受压缩、噪声破坏。

②频域方法：将图像转换至频域修改系数后逆变换，主要包括：

• DCT：与JPEG压缩兼容，抗压缩能力强；

• DWT：多分辨率分析，对缩放裁剪更鲁棒。

该方法将水印嵌入视觉不敏感的中频区，是当前主流方案。

③深度学习方法：利用编码器-解码器架构端到端学习最优嵌入策略，通过对抗训练平衡不可见性、完整性与鲁棒性。代表前沿方向，但训练复杂且泛化能力待提升。

演进脉络：从直接在像素上修改（空域），到在频率分量上嵌入（频域），再到由AI自适应学习嵌入策略（深度学习），核心目标是在保证不可见的前提下持续提升抗处理能力。

隐形指纹是一种“主动”的防御策略，它需要在图片生成时主动嵌入信息。而取证技术则是一种“被动”的检测手段，它不依赖于预先嵌入的标记，而是通过分析图片本身的特征来推断其来源和真实性。这两者相辅相成。

这类技术属于数字图像取证范畴，其核心并非直接识别AI生成特征，而是检测图像在采集、编辑、压缩过程中留下的、不符合物理规律或相机成像模型的痕迹。典型方法包括：传感器模式噪声分析、CFA插值伪影检测、JPEG压缩痕迹分析、光照一致性分析、物理不一致性分析，当AI图像在某些环节“模仿”得不够好时，这些方法也能发挥作用。

这类方法是目前研究的主流，它们直接利用深度学习模型来捕捉AI生成图像中人类难以察觉的、细微的统计特征。

(1) 基于隐写分析的方法

许多生成模型（如GAN、扩散模型）会在其输出中无意间嵌入独特的统计“指纹”。通过训练卷积神经网络（CNN）等二分类模型，输入是图像，输出是“真实”或“AI生成”。例如，腾讯朱雀实验室开发的“朱雀AI检测助手”即采用此类技术，实现了对多种生成模型输出的识别，见图 3。

图3

(2) 频域分析

将图像从空间域转换至频域（如傅里叶变换、小波变换域）进行分析。研究发现，AI图像常出现特定结构性伪影。例如，某电商的“纯棉面料细节图”经傅里叶变换后，高频区出现周期性条纹伪影，与真实面料自然无规律的纹理分布截然不同，证实图片为AI生成，与实际商品不符。见图 4。

图4

(3) 元数据与来源溯源

此方法不依赖于图像内容分析，而是通过检查文件的附加信息或主动嵌入的溯源标识来进行判断，验证流程见图 5。

图5

AI生成图片的溯源与取证技术，目前已形成从“主动防御”到“被动检测”的综合体系，并逐步在多个关键领域得到应用：

➤司法取证领域

取证技术通过分析图像内容特征与元数据，为AI生成图片的真伪鉴定提供了客观依据。

➤新闻媒体领域

在新闻采编流程中引入AI图像检测工具，结合物理特征分析，能够对素材真实性进行快速筛查与双重验证。

➤ 版权保护领域

主动嵌入的隐形指纹（数字水印）可有效记录AI作品的创作者、生成时间及授权信息，为版权归属提供法律凭证。而取证技术则能在侵权行为发生时，辅助实现作品的快速识别与溯源。

➤社交网络与内容平台

通过整合深度学习模型、频域分析等自动化检测技术，平台可对用户上传内容进行实时识别与标记。

跳转微信打开

来源：美亚法度笔录

存储芯片的技术架构直接决定数据恢复的可行性与成功率，主流类型及核心特点如下：

数据恢复需根据 “逻辑损坏”“物理损坏”“固件故障” 三类场景，选择对应技术手段，核心方法如下：

跳转微信打开

转自：孤岛杂记

项目生产过程中，从原始数据到成果数据都会有大量的数据需要存储，动则数十GB，甚至可达数十TB级别，我们也会对数据进行存储、删除、甚至恢复等操作，下面简单介绍下这些数据从存储到完全清除都经历了哪些过程。

1.常用数据存储介质有哪些？

机械硬盘：简称HHD，即传统普通硬盘。目前机械硬盘发展成熟，它使用寿命更长，价格相对实惠，通常也用来搭建NAS。

固态硬盘：简称SSD，用固态电子存储芯片阵列而制成的硬盘。它读写速度更快、没有噪音、功耗更低，但寿命没有机械硬盘长，并且价格比较贵。

U盘和SD卡：它们都是闪存的一种，U盘集磁盘存储技术、闪存技术及通用串行总线技术于一体，多用于便携移动存储。SD存储卡体积小、数据传输速度快，多用于相机、平板等多媒体设备上。

刻录光盘：是以光信息作为存储的载体并用来存储数据的一种物品，分为不可擦写光盘。它保存数据的时间较长，是目前测绘保密成果储存介质的首选，从便携角度上来讲它并不便捷。

2.删除文件时都经历了哪些步骤？

当我们删除文件时，无论是否清空回收站，电脑都不会真正删除该文件，甚至不会改变原始数据。电脑只会更改文件系统中的相应记录，即将文件标记为“已删除”。然后会将“已删除”文件所占用的空间标记为可用。当写入另一个文件时，则需要占用可用空间，如果占用空间是“已删除”文件的位置，这时之前删除的数据才会真正被覆盖删除，无法找回。

3.数据是如何恢复的？

        上面讲到，删除的数据仍保留在系统中，可以找回，数据恢复软件正是利用这一原理，通过查找目录建立索引来找回丢失的文件（前提是储存介质没有物理损坏）。目前市面上有多款数据恢复软件，下面推荐几款比较好用的：

EasyRecovery--www.easyrecoverychina.com

万兴恢复专家--www.huifu.wondershare.cn

Recuva--www.ccleaner.com/zh-cn/recuva

4.如何完全清除数据？

格式化

我们清除数据时一般使用格式化操作，磁盘的格式化可以分为高级格式化和低级格式化两种，其中高级格式化又分为完全格式化和快速格式化两种。

通常会使用的快速格式化并不安全，因为它仅仅是清除了数据，和我们删除文件并清空回收站效果类似，因此我们需要采用完全格式化或低级格式化。

低级格式化：物理级的格式化，主要用于划分硬盘的磁柱面、建立扇区数和选择扇区间隔比。硬盘要先低级格式化才能高级格式化，而刚出厂的硬盘已经经过了低级格式化，无须用户再进行低级格式化了。

很多主板提供了进行低级格式化的功能，一般在HDD Low Level Format选项中。也有很多主板上没有低级格式化的功能，可以使用该硬盘厂商提供的硬盘管理程序和低级格式化程序。如果硬盘是比较标准的，也可以使用这些工具进行低级格式化，如Disk Manager，PC-Tools等。

完全格式化：对硬盘的格式化分区进行磁道的格式化，在逻辑上划分磁道。对于完全格式化，不同的操作系统有不同的格式化程序、不同的格式化结果、不同的磁道划分方法。

在操作系统下，运行常规格式化命令时，会在当前分区的文件分配表中将分区上的每一个扇区标记为空闲可用，同时系统将扫描硬盘以检查是否有坏扇区，扫描过程中会为每一个扇区打上可用标记。扫描坏扇区的工作占据了格式化磁盘分区的大部分时间。

数据填充和文件粉碎

根据数据恢复的原理我们知道，文件无法清除干净是因为硬盘上预留着之前文件的空间和内容，所以只要我们将这部分空间和内容进行覆盖，就可以彻底清除之前的文件了。我们通过完全格式化操作将之前存放过隐私文件的硬盘分区格式化，然后用大量文件将硬盘装满，多重复几次，就可以彻底将隐私文件从硬盘中清除掉了。

文件粉碎工具和数据填充覆盖原理类似，也可以达到彻底删除数据的效果。

参考链接：https://www.kenzhishi.com/95.html；
https://huifu.wondershare.cn/faq/recovery-theory.html；
https://mp.weixin.qq.com/s/QFpTecYntz58n_fUs_1RFw；
https://wenku.baidu.com/view/052075c6fbc75fbfc77da26925c52cc58bd69035.html

eMMC、TF 卡、UFS 储存方式科普，搞懂它们只需3分钟！

SD NAND芯片知识全解

CF卡的工作原理：了解高效存储技术

SD卡上面的标识你认识几个？

SD卡格式化怎么恢复数据？从原理到四种恢复方法

跳转微信打开

以下文章来源于：电子土豆

太原理工大学在读学生，喜欢数学和电子。分享有趣的知识，致力于成为优秀的电子工程师

跳转微信打开

以下文章来源于：德塔瑞卡

专注于信息安全的技术型企业，多年深厚技术沉淀，以电子数据取证、 侦查技术装备等解决方案为核心业务，主要包括：案件协助服务、数据恢复、电子数据实验室建设、行业培训服务等。

跳转微信打开

以下文章来源于：凌风小屋

专注于电子数据取证领域创作和分享

想让大家“能用、好用、还能互相核对”，把APK那些绕人的技术特征，变成一个个“勾√项”，让分析从“靠老师傅凭感觉”，变成“按说明书走流程”——稳得很，还不费脑子！

来源：凌风小屋

APK 传播链路追踪：通过解析二维码，还原从 “扫码入口” 到 “APK 下载” 的完整路径，可用于定位违规 / 恶意 APK 的分发渠道。

①二维码解析工具：“草料二维码转码器” 是在线二维码解析工具，用于提取二维码包含的链接信息；

②跳转网址：二维码对应的直接访问链接（http://XXX.com/1234），是用户扫码后的初始跳转入口；

③下载网址：分发平台提供的 APK 具体下载链接（http://XXX.com/download），是用户获取 APK 的最终地址。

包名通常遵循 “反向域名” 规则（如开发者官网为xxx.com，包名多设为com.xxx.应用名），是 Android 应用的唯一标识，模板记录的包名可关联应用商店的开发者注册信息（如开发者姓名、企业主体），直接缩小人员范围；包名的一致性可以用于串并案。

通过 APK 签名证书的指纹（如 SHA256），在应用商店 / 开发者平台反向查询绑定的企业信息（如 Google Play 后台需绑定企业开发者账号，可关联工商信息）。另外通过“企查查”等可以查到该公司开发的其他APP，对比是否有关联。

AndroidManifest.xml 文件中可能包含开发者官网（android:website属性）、开发者邮箱 / 电话（android:email/android:phone）；示例：<application android:label="XX应用" android:website="https://www.xxx.com">。或者直接整个文件中搜索“http”或“https”定位网址。

第三方 SDK 大致分为 “正常功能类 SDK” 与 “恶意 SDK” 两类。

①正常功能类 SDK（定位、推送、支付、统计），SDK调用第三方服务的授权标识：对应的开发商（如 XX 科技有限公司）、API 凭证（如API_KEY、API_id），借助记录的开发商与 API 信息，向 SDK 的官方开发商调证。

②恶意 SDK（短信轰炸、非法支付、非法采集隐私），这类 SDK 本身属于违规 / 违法工具，核心关注点是其恶意功能而非授权信息。通过技术手段（如 SDK 的代码特征、网络请求链路）追踪其开发者的真实身份。

“360 加固、爱加密、梆梆加固” 是国内主流的商业 APK 加固工具 —— 这类工具通过代码混淆、加密、加壳等方式，防止 APK 被轻易反编译，保护应用代码不被泄露。处置方法有：

①通过 “FDEX”（一种 APK 脱壳工具）对加固后的 APK 进行 “脱壳” 操作，可提取其原始源码，进而还原应用的业务逻辑。

②向加固服务提供方调证该 key/id 对应的授权主体、服务协议等信息。

针对不同部署形式，操作方式大致有两种：“IDC 机房→实地排查 + 现场固定”和“云服务器→调证”。

“IP138” 在线查询：通过 IP138 这类 IP 信息查询工具，可直接获取 IP 的地理位置、历史绑定域名、运营商等基础信息，是服务器信息溯源的常用工具

①真实 IP：服务器的实际网络地址（示例为178.251.XXX.321），是服务器在网络中的唯一标识，也是后续调证的核心依据；

②服务器地址：IP 对应的物理地理位置（示例为 “中国江苏 XX”），反映服务器的部署区域，辅助判断业务的服务覆盖范围；

③IP 历史绑定域名：该 IP 曾关联的域名及对应时间区间（如2021-01-01----2022-01-01 XX.XXX.com），可溯源服务器曾承载的业务，辅助关联目标其他业务资产；

判断是否存在宝塔面板：通过访问IP:8888端口，验证该服务器是否部署了宝塔面板（若能进入面板登录页，则说明存在），这是服务器管理工具的存在性检测手段，若有可以去宝塔面板公司进行调证注册信息等。

“站长工具”“微步在线” 是常用的 Whois 信息查询平台：通过这类工具，无需直接访问域名注册商后台，即可快速获取域名的 Whois 信息、DNS 配置等内容，是域名资产调研的常用手段

“天眼查”“企查查”：用于获取主办单位的工商信息，验证企业的合法登记状态。

主办单位信息以 “XX 科技有限公司” 为主体，关联企业的工商核心信息（法定代表人、统一社会信用代码、注册地址等）—— 这些是主办单位的合法身份标识，决定了网站运营主体的资质合法性。

“站长工具”“工信部官网”：用于查询网站的 ICP 备案信息，核实网站备案的真实性、有效性（工信部官网是备案信息的权威查询渠道）。

包含网站的合规备案凭证（网站备案 / 许可证号）、网站基本信息（网站名称、首页网址）、备案审核信息（审核时间）、责任人信息（网站负责人）—— 国内网站必须完成 ICP 备案并取得备案号，这类信息是网站合法运营的官方凭证。国内部分涉案网站可能未依法完成 ICP 备案（存在逃避备案的违规情形）；而国外网站因不适用中国的 ICP 备案管理要求，本身并无 ICP 备案信息。

后台地址专属 URL 路径（如常见的/admin、/backend等），通常是网站的隐蔽访问路径。

在必要的特定情形下，通过枚举账号、密码组合尝试登录后台，获取相关人员列表、资金交易、联系方式等信息。进一步固证和避免目标人员“醒”了后删除数据库造成数据灭失。

常见的第三方服务为“客服公司”和“支付接口”两种。

客服公司：用apk中获得的aid、appkey（客服服务的调用授权凭证，用于验证服务调用的合法性），去对应的服务商主体 “XXX 公司”调证获取该客服服务的预留联系方式等；

支付接口：涵盖微信、支付宝、第三方支付通道，调证追踪资金流向，明确交易的资金收款方、流转路径，是资金链路核查的核心环节。

反模拟器抓包：这个是最常见的反侦查行为，恶意应用会检测运行环境，若识别到模拟器、调试工具，会立即停止恶意行为。可以采用真机抓包，应用不会触发规避逻辑，可正常捕获其真实行为。

后台静默运行：常见于老年人受害群体。用户退出应用界面后，应用仍在后台持续执行窃取数据、上传信息的操作。提升恶意行为的隐蔽性，避免被用户直观察觉，长期非法获取用户信息。

 附：APK分析模板汇总

此文如有错误欢迎沟通指正。为确保个人隐私与数据安全，使用相关工具和方法时须严格遵守法律法规及道德准则，同时亦欢迎其他相关问题和策略的探讨。

跳转微信打开

来源：江苏聚合天迹

跳转微信打开

以下文章来源于：黑鸟

一介草民，深耕威胁情报领域多年，自封威胁分析师，APT狩猎者，战略忽悠分析师。 专注推送一切前沿高科技/人工智能、网络安全分析、敌我战略分析、数据挖掘、情报扩线、网络武器分析、社会工程学、一切开源情报、军事分析忽悠等。

来源：黑鸟

Cellebrite DI Ltd.（简称 Cellebrite）是一家全球领先的数字情报（Digital Intelligence）和数字取证解决方案提供商，总部位于以色列佩塔提克瓦（Petah Tikva），成立于1999年。

主要业务和产品Cellebrite 提供端到端的数字调查平台（Case-to-Closure Platform），覆盖数据收集、审查、分析和管理全流程。

UFED（Universal Forensic Extraction Device）为行业标准移动取证工具，能从各种智能手机、平板等设备中合法提取数据，支持iOS、安卓等系统。

Physical Analyzer：用于深度审查和分析提取的数据。

Inseyets：AI驱动的调查解决方案。

Responder、Digital Collector、Pathfinder 等工具，支持实时采集、远程收集和案件管理。

企业级产品如 Endpoint Inspector，用于企业端点数据管理。

可以说境外各行各业都有使用该设备进行取证分析的情况存在，行业主要为公共安全（Public Safety）、企业（Enterprise）以及联邦/国防三大类。截至2025年最新公开数据，公司全球客户超过7,000家，技术每年支持超过150万次合法授权调查，收入90%以上来自政府和公共部门机构，大部分为执法行动。

黑鸟通过外部消息，总结关于Cellebrite取证手机设备后遗留的痕迹特征如下。

首先需要提及情况：2024  年末，苹果在 iOS 18 中引入了一项安全功能，该功能允许 iPhone 在连续 3 天（或 72 小时）无活动后自动重启，将手机状态从  AFU（高级无操作模式）切换到 BFU（基本无操作模式）。类似的可选功能于2025 年 4 月在 Android 手机上推出，对应 Google  Play 服务版本 25.16。

当iphone被脸部解锁后，该Cellebrite设备可以通过未知手法，获取到iphone的解锁密码。

取证记录显示，该设备在进行Cellebrite数据提取的前一天重启过，因此在提取数据之前处于首次解锁前（BFU）状态。

BFU是指设备重启后尚未解锁的状态。与首次解锁后（AFU）状态相比，设备处于BFU状态时，其内容加密更加安全。

特征1：

iPhone 通过 USB 连接到Cellebrite设备时，该设备使用

 HostID 9016926980658937761372207 和 SystemBUID 30313996-42072961236303456 进行自我识别。

这两个特征，分别出现在Cellebrite 数字签名的 DLL 文件中，包括“CellebriteMobileAgent/iPhoneLib.dll”。

handle_pair: Pair message: {    

PairRecord =     {        

DeviceCertificate = [..]        

HostCertificate = [..]        

HostID = 9016926980658937761372207;        

ProtocolVersion = 2;        

RootCertificate = [..]        

SystemBUID = “30313996-42072961236303456”;  

  };    

Request = Pair;

}

特征2

Cellebrite设备取证存在公开的checkm8漏洞的iphone时，这部 iPhone 的崩溃日志显示，一个名为mnm 的进程曾在该设备上运行。

手机显然是从 RAM 磁盘启动的，这表明安全启动已被绕过，可能就是通过checkm8实现的。

崩溃日志显示， mnm进程有一个名为“com.cellebrite.bruteforce”的调度队列。

“24”：{...，“procname”：“mnm”，...，“dispatch_queue_label”：“com.cellebrite.bruteforce”，...}

手机上还设置了几个以“mnm-”开头的NVRAM变量（NVRAM变量可用于在文件系统之外保存设备重启后的状态），因此进程名mnm或以“mnm-”开头的NVRAM变量大概率是由Cellebrite的工具设置的。

特征3

Cellebrite取证的安卓设备的取证记录时，会安装了一个名为 com.client.appA 的软件包。

START DELETE PACKAGE: observer{██████████}
pkg{com.client.appA}, user{█}, caller{█} flags{█}
START INSTALL PACKAGE: observer{██████████}          
stagedDir{/data/app██████████.tmp}          
stagedCid{null}          
pkg{com.client.appA}          
Request from{null}

package=com.client.appA totalTimeUsed=”00:24″ lastTimeUsed=██████████
totalTimeVisible=”00:26″ lastTimeVisible=██████████
lastTimeComponentUsed=██████████ totalTimeFS=”00:00″ lastTimeFS=”1970-01-01 02:00:00″ appLaunchCount=2 fgServiceLaunchCount=0

该软件包随后不久被删除，该软件包名称出现在Cellebrite 公司数字签名的 DLL 文件中，

例如“CellebriteMobileAgent\CellewiseLib.dll”。

还有一些其他资料，后续看情况不定期分享。

iOS 系统封锁记录 

主机 ID：9016926980658937761372207 

系统版本：30313996-42072961236303456 

iOS崩溃日志 

进程名称：mnm

 服务名称：com.cellebrite.bruteforce 

Android 软件包 

软件包 ID：com.client.appA

跳转微信打开

通过清晰的规则、透明的程序和充分的权利保障，实现技术赋能司法与程序守护公正的有机统一。

来源：人民法院报，作者：北京理工大学法学院 高宇石

　　人工智能证据正以效率革命的姿态渗透刑事司法全流程，同时对以真实性、关联性、合法性为核心的传统证据制度构成巨大挑战。随着《人工智能安全治理框架》2.0版将技术内生安全风险细化至算法模型与数据层面，以及《最高人民法院关于规范和加强人工智能司法应用的意见》确立透明可信、辅助审判等核心原则，我国已初步构建人工智能治理的制度矩阵。但是刑事司法领域尚未建立与之匹配的证据审查技术规范与程序机制，这种规制滞后性正在加剧技术应用与程序正义之间的张力。亟须从类型识别、困境剖析与制度建构三个维度进行研究。一、人工智能证据的类型特征
　　人工智能技术在司法领域推进融合。由算法系统自主或半自主生成的信息正逐步进入刑事诉讼证据体系。所谓“人工智能证据”，是指依托机器学习、深度神经网络、自然语言处理等AI技术，对原始数据进行分析、推理、合成或预测后形成的、用于证明案件事实的材料。区别于传统电子数据，人工智能证据的核心特征在于其非直接感知性与算法中介性。简言之，证据内容并非源于人类感官记录或设备被动采集，而是经由算法模型“再加工”甚至“再创造”而成。据此，当前司法实践中的人工智能证据可以大致分为三类：
　　第一类是感知增强型证据。此类证据以智能传感设备为基础，通过AI算法对原始感知数据进行识别、标注或结构化处理。典型如人脸识别系统自动生成的身份比对报告、智能交通监控系统输出的车辆轨迹分析图、无人机搭载AI视觉模块识别的现场异常行为标记等。其识别结果高度依赖训练数据质量与算法精度。
　　第二类是分析推理性证据。该类证据通过对海量结构化或非结构化数据进行建模分析，形成具有解释性或预测性的结论。例如，在经济犯罪案件中，检察机关利用AI资金穿透工具生成的涉案账户资金流向图谱；在毒品犯罪侦查中，基于通信大数据构建的社交关系网络图；又如法院委托第三方机构使用风险评估模型出具的被告人再犯可能性评分。此类证据常因算法黑箱而难以被控辩双方有效质证。
　　第三类是内容生成型证据。以生成式人工智能为代表，AI已能生成文本、语音、图像甚至视频内容。例如，智能语音助手记录并转写的嫌疑人对话摘要、AI根据案情描述模拟生成的作案过程动画、大语言模型辅助撰写的法律意见书或证人陈述草稿等。此类证据最具争议性，其内容可能包含虚构、幻觉或偏见，且难以追溯原始信息源，真实性与可靠性面临严峻挑战。
　　上述三类证据虽然形态各异，但是共通之处在于其生成过程脱离了传统人和物的直接关联，转而依赖算法这一技术中介。这使得其证据属性既不同于书证、物证，也超越了一般电子数据的范畴。二、人工智能证据可采性的困境
　　尽管人工智能证据在提升司法效率、辅助事实查明方面展现出潜力，但其进入刑事诉讼场域后，与现行证据规则和程序原则之间产生了深刻张力，集中体现为真实性认定难、合法性边界模糊、关联性判断失准等多重困境。
　　首先，真实性审查面临算法黑箱障碍。刑事诉讼法第五十条规定，证据必须经过查证属实，才能作为定案的根据。然而，人工智能证据的真实性高度依赖其底层算法逻辑与训练数据质量，而多数商用或内部部署的AI系统具有封闭性和不可解释性。此类黑箱输出使得传统质证、认证机制难以有效运行，动摇了证据裁判原则的根基。
　　其次，合法性判断缺乏明确规范指引。人工智能证据涉及数据采集、模型训练、自动推理等多个环节，其中任一环节若违反法定程序，均可能构成非法证据。例如，公安机关在未取得搜查令的情况下，利用爬虫工具从社交平台批量抓取嫌疑人历史言论用于行为画像，该行为是否属于刑事诉讼法第五十六条所禁止的以非法方法收集证据？在实践中相关司法解释尚未就人工智能介入取证的程序边界作出细化规定，导致合法性审查缺乏统一标准。
　　再次，关联性与证明力评估易受算法偏见干扰。人工智能证据常以统计概率、风险评分或模式匹配形式呈现，其与待证事实之间的逻辑链条往往间接且脆弱。而刑事诉讼法第五十五条强调重证据，重调查研究，不轻信口供，对间接证据的证明力提出更高要求。人工智能证据若缺乏透明的推理路径，极易沦为技术包装下的主观臆断。此外，人工智能证据的专业性与复杂性也加剧了控辩双方的信息不对称。被告人及其辩护人往往既无能力理解算法逻辑，也难以获取训练数据或模型参数，导致质证权、辩论权形同虚设。
　　最后，人工智能证据在可采性层面所面临的困境，本质上是技术逻辑与司法逻辑的冲突。若不及时构建适配其特性的程序规制体系，不仅可能侵蚀证据裁判原则，更可能动摇刑事诉讼中的人权保障底线。三、构建人工智能证据审查的规范路径
　　面对人工智能证据带来的可采性挑战，不能因噎废食，亦不可放任自流。应在坚持以审判为中心、证据裁判、程序正义等基础上，立足我国司法制度实际，构建“分类识别—分层审查—权利保障”三位一体的人工智能证据审查规范体系。
　　第一，确立分类分级的准入审查机制。鉴于人工智能证据类型多样、风险程度不一，应实行差异化审查标准。对于感知增强型证据，重点审查算法模型的准确性、误识率及数据采集的合法性。对于分析推理性证据，应要求提供算法逻辑说明、训练数据来源及验证测试结果。对于内容生成型证据，原则上不得单独作为定案依据，须有其他证据印证，且需严格审查其生成过程是否存在幻觉。可借鉴《最高人民法院关于规范和加强人工智能司法应用的意见》，对高风险人工智能证据设置更严格的准入门槛。
　　第二，完善真实性与合法性的程序化验证规则。建议在现有电子数据审查规则基础上，增设人工智能证据专项审查要素。一是算法可解释性要求，对于影响定罪量刑的关键人工智能证据，应由提供方说明核心算法原理、输入输出逻辑及误差范围。二是数据溯源与完整性保障，通过区块链、可信时间戳等技术固定训练数据来源、模型版本及生成日志，确保全过程可追溯。三是合法性前置审查，明确禁止使用未经法定程序获取的数据训练司法人工智能模型，严禁以技术便利替代搜查、扣押等强制措施的审批程序。必要时，可引入第三方技术机构进行独立验证，提升审查公信力。
　　第三，强化当事人权利保障机制。人工智能证据的使用不得减损被告人的辩护权与质证权。一方面，应细化刑事诉讼法第一百九十七条专家辅助人制度，明确其有权查阅与人工智能证据生成相关的核心参数（涉密除外）、参与算法说明听证，并就技术缺陷提出质疑。另一方面，建立人工智能证据披露义务，控方或法院拟采纳人工智能证据的，应提前向辩方提供技术摘要、验证报告及专家联系方式，保障辩方充分准备质证。对于重大、复杂案件，可探索设立技术争点整理程序，由合议庭先行确定人工智能证据争议焦点，避免庭审流于形式。
　　总之，对人工智能证据的规制，不是要阻挡技术进步，而是要将其纳入法治轨道。通过清晰的规则、透明的程序和充分的权利保障，实现技术赋能司法与程序守护公正的有机统一。

阅读原文

跳转微信打开

分享一篇文章

网络侦查研究院: 电子数据取证工具实操：聊天记录恢复的6个关键步骤

从已删除的碎片中重建真相，技术让沉默的数据开口说话。

在信息网络犯罪侦查中，微信、QQ、Telegram等即时通讯工具的聊天记录已成为关键证据。然而，嫌疑人常会删除敏感记录，甚至卸载应用、格式化设备，给取证带来巨大挑战。

公安专用电子数据取证工具与技术方法，正让这些“消失”的证据重新浮现。本文将系统梳理聊天记录恢复的六个关键实操步骤，结合最新工具与技术规范，为一线侦查人员提供清晰指引。

01 现场保护与规范取证：确保证据链源头合法

任何电子数据恢复工作的前提，是取证过程的合法性。根据《法庭科学电子数据收集提取技术规范》，现场操作必须确保数据不被污染、篡改。

核心操作：使用只读设备连接存储介质，制作详细的电子数据提取笔录，记录提取时间、地点、过程及设备信息。对家庭共用硬盘等场景，需通过分析文件权限和访问记录，判断备份文件是否被其他用户篡改。

工具应用：FTK Imager、EnCase等专业工具可创建磁盘镜像，同时计算哈希值（MD5、SHA-256）验证数据完整性。现场应拍摄系统状态截图，记录运行进程和网络连接情况。

法律依据：根据《最高人民法院关于民事诉讼证据的若干规定》，电子数据必须查证属实才能作为认定事实的根据。取证程序不合规，可能导致证据不被采纳。

02 数据镜像与哈希校验：构建不可篡改的证据基础

数据恢复的第一步是获取完整的存储介质镜像。无论是手机内置存储、SD卡还是电脑硬盘，都必须进行位对位的完整复制。

技术要点 对于已关机的设备，直接进行物理镜像；对于运行中的设备，需先使用Magnet RAM Capture、Belkasoft Live RAM Capturer等工具获取内存镜像，再获取存储镜像。

完整性保障 镜像完成后立即计算哈希值，并在后续每个操作环节进行校验比对。任何数据提取、分析操作都应在镜像副本上进行，原始镜像封存备查。

实战案例  在“运某滴”虚开发票案中，办案人员对涉案手机进行屏蔽环境下的镜像提取，为后续深度恢复奠定基础。镜像文件哈希值作为证据链的关键一环，在庭审中证明了数据的原始性。

03 深度扫描与恢复已删除数据：让“消失”的记录重现

嫌疑人删除聊天记录后，数据在物理介质上并未立即消失。取证工具通过扫描未分配空间、文件系统日志等区域，能恢复大量已删除内容。

技术原理  在HDD中，删除仅移除目录索引，数据仍在磁盘扇区保留直至被覆盖。SSD因磨损均衡和TRIM指令，恢复难度较大，但仍可通过芯片级提取尝试。

工具实操 

• 文件系统级恢复

  使用R-Studio、FinalData等工具扫描文件签名，恢复常见格式文件

• 数据库解析

  针对微信的EnMicroMsg.db、QQ的Msg3.0.db等特定数据库，使用DB Browser for SQLite等工具直接解析，即使部分记录标记为删除，仍可能提取内容

• 内存碎片重组

  从内存镜像中提取进程数据，重组聊天片段

关键突破：在“运某滴”案中，技术人员利用盘古石手机取证分析系统，从一部已删除大量记录的手机中，成功恢复2.9万条微信聊天记录，这些记录完整揭示了虚开发票的策划过程。

04 解密与解析加密备份：突破应用层防护

现代通讯应用普遍采用加密保护。微信4.0版本的备份文件采用RMFH加密格式，需获取密钥才能解密。

逆向分析  通过调试微信进程，分析roma_server.dll、libaff_biz.so等关键模块，定位加密函数sub_A0061C对EVP_EncryptInit_ex的调用，提取AES-GCM算法的密钥和初始向量。

备份文件结构  Windows微信4.0备份存储在C:\Users\[用户名]\Documents\xwechat_files\Backup\[微信号]，包含：

• ChatPackage目录：加密的聊天消息（按时间段分组）

• Media目录：加密的媒体文件（小文件打包为.tar.enc，大文件独立存储）

• 多个RMFH格式文件：需特定密钥解密

解密脚本  编写Python脚本实现RMFH文件解密，解密后可按protobuf格式解析聊天内容。每个账号的RMFH密钥在较长时间内固定，一旦获取可多次使用。

05 结构化提取与智能分析：从海量数据中提炼线索

恢复原始数据只是第一步，如何从数万条记录中快速定位关键证据，才是实战中的真正挑战。

传统方法局限  民警曾需手动截图、逐条录入，效率低下且易出错。传统OCR工具只能识别文字，无法处理转账截图、表情包等复杂内容。

智能工具革新  

• DeepSeek-OCR

  本地部署，96.5%识别准确率，可将聊天记录长截图直接转换为结构化Markdown文档，保留时间、发送人、上下文关系

• LangExtract

  谷歌开源工具，从非结构化文本中提取人员、时间、地点、金额等实体信息，输出结构化数据

• AI聊天线索王V2.0

  专为公检法设计的智能分析工具，自动挖掘资金流向、人员关联、暗语识别

分析维度  

1. 成员关系分析

   统计消息频率，识别核心成员与外围人员

2. 时间模式分析

   发现异常活跃时段，与案件时间线对应

3. 语义深度分析

   识别“茶叶”（现金）、“项目”（利益交换）等隐晦表述

4. 资金关联分析

   提取转账金额、频率，与银行流水交叉验证

06 证据固定与报告生成：构建法庭可采信的证据体系

恢复和分析的数据，必须转化为符合法律要求的证据形式。

证据固定要求  

1. 完整性保障

   聊天记录应完整提供，不得选择性截取。根据规范，如故意选择性提供，将承担法律后果

2. 主体身份确认

   通过微信号绑定手机号、实名信息、登录设备记录等，确认聊天主体身份

3. 时间链验证

   结合手机系统日志、微信服务器时间戳，验证聊天记录时间真实性

4. 哈希值校验

   对提取的聊天记录文件计算哈希值，确保传输存储过程中未被篡改

展示规范：法庭出示时，应按以下步骤操作：

1. 账户持有人登录微信，展示登录账户

2. 查看对方个人信息界面，展示身份信息

3. 进入聊天对话框，完整展示对话内容

4. 点击查看转账记录，展示支付信息

5. 如属对话记录（文字、音频、视频），应完整反映对话过程

报告生成  使用大语言模型辅助生成标准化研判报告，包含：

• 案件摘要与关键发现

• 聊天成员分析与关系图谱

• 时间轴重建与关键事件标注

• 风险等级评估与案件性质判断

• 法律依据匹配与罪名梳理

• 后续侦查建议

阅读原文

跳转微信打开

基于RSID机制的word文档底层溯源分析

来源：天鉴电子数据取证实验室

阅读原文

跳转微信打开

“通过审查在案言词证据能否与电子数据相互印证，不同的电子数据间能否相互印证等，核实电子数据包含的案件信息能否与在案的其他证据相互印证”。

一、跨境电子证据真实性审查的现状

随着信息化的发展，犯罪呈网络化和跨境化。国内打击网络犯罪往往牵涉存储在境外的电子证据，跨境电子证据在打击网络犯罪案件中起着重要作用。比如根据最高人民检察院的披露，2020年全国检察机关办理利用暗网或境外通讯软件事实的网络犯罪案件同比增长近70%，出境实施网络犯罪的人数超过上一年的2倍，犯罪活动“跨境化”明显。根据公安部的信息：截止2021年5月份，跨境犯罪的案件数量和人数同比分别上升156%和202%；在电信网络诈骗中，境外作案占比达80%以上；在电信网络犯罪中，98%以上的服务器架设在境外。

由于跨境电子证据来源于遥远的国度，其如何生成、取得具有“黑箱”性，且具有易变性、可塑性等特性，确保其真实、可靠是一种巨大的挑战。为了确保案件真相，对跨境电子证据的真实性审查尤为重要。

电子证据的真实性包括形式真实性和内容真实性。形式真实性是狭义上的真实性，适用鉴真规则进行审查，即“证据就是主张者所主张的那份证据”，包括证据的来源可溯、载体真实等。内容真实性往往称为可靠性，包括系统科学性、内容原始性与完整性。系统科学性需审查计算机软件等基础设备和推理逻辑的技术认可度及公正性，内容完整性与原始性需审查取证、存储和传输方法的规范性等。基于科技信赖原则以及国家间相互尊重主权而奉行的“不审查原则”，多数国家的司法机关普遍认为通过国际刑事司法协助程序获得的跨境电子证据可推定为真实、可靠。

鉴于此，目前对跨境电子证据的审查多限于形式真实性审查，较少涉及对其内容可靠性的审查。比如《人民检察院办理网络犯罪案件规定》第59条规定，“人民检察院对境外收集的证据，应当审查证据来源是否合法、手续是否齐备以及证据的移交、保管、转换等程序是否连续、规范”，就是一种形式真实性审查。在第748号案指导性案例中，法院也持相应观点认为，“对于中国司法机关通过刑事司法协助请求外国司法机关调查取得的证据，法院无须就该证据本身在程序及手续上进行限制，只要其具备了完整的证据属性，即可以认定”。

但“不审查原则”一般仅限于传统的实物证据，不应覆盖跨境电子证据，因为基于跨境电子证据的特性，如果直接推定其真实性，将埋下巨大的公正性风险。比如，透过英国最大的司法冤案，裁判者意识到任何认为计算机软件可靠性的假设都是值得怀疑的。在该案中，700名前邮局副局长被指控在2000年到2015年间因虚假会计和盗窃被错误定罪，原因是富士通Horizon零售交易和会计软件的漏洞错误地显示其分支机构现金短缺。

受主、客观因素的影响，计算机软件技术存在不可避免的缺陷，比如技术不成熟、算法有歧视、算料不周全、算力不相称等，均将削弱电子证据生成及其输出的可靠性，为此有人建议法院应对电子证据作可错性假设：任何软件系统都包含或受到错误的影响，这些错误使计算机证据具有可错性。在评估特定计算机证据的权重时，事实裁判者应考虑“该特定证据是否可能已受到计算机错误的实质性方式影响”。当然，这种所谓的实质性审查方法过于抽象，没有实操性。

为了便于实务人员操作，国外学者建议从四种路径审查电子证据可靠性：一是实质可靠性，即数据在传输过程中的可靠性，应通过审查维护数据在生成、传输过程中完整性的策略和安全控制的文件。二是程序可靠性，即数据的存储、登录或输出是否遵循了法律规范性文件或技术规范性文件，因为这些文件用于担保数据流转过程中的可靠性，一旦这些文件被遵守，即可证明数据具有可靠性。三是结果可靠性，即元数据和数据的固有特征比如哈希值（a  hash  value），可以证明数据未被更改。四是安全保护的可靠性，国家规定了关于数据跨境传输安全保障措施的数据安全法规，也有助于确定数据的完整性，比如欧盟对跨境数据的隐私保护，要求美国对输入的数据要提供与欧盟同等的安全保护。因此，只要此类数据的提出者能够证明符合维护数据完整性的监管和法定要求，以及有关遵守相关法规和条例的证明或证书，即可满足数据可靠性的基本证明的要求。

二、跨境电子证据真实性的类型化审查

“四路径”审查法强调从软件技术角度进行审查，对于非软件专业的法律实务人员而言，不具有现实可操作性。笔者认为，目前对电子证据，尤其是跨境电子证据审查的瓶颈在于：如何将技术性要求转换为经验性或证据规则的要求，也即将技术性的符号语言转换为经验性的公众语言。“类型化”是处理电子数据的常用方法，比如根据电子数据涉及的敏感程度对其作等级分类。同样，对于审查跨境电子证据的真实性，也可作类型化处理，即根据跨境电子数据有无原始存储介质的可溯性，将其分为可溯的跨境电子数据和不可溯的跨境电子数据。可溯的电子数据是指该电子数据来源于确定的原始存储介质，如果不考虑诉讼成本可对其进行溯源核实，比如从手机中获取的电子数据、从监控视频复制的电子数据以及已公开的网络数据，都属于可溯源的数据。所谓不可溯的电子数据是指通过网络远程勘验取得的数据、境外执法机构提供的没有原始存储介质的电子证据，以及传输中的动态数据，此类数据无确定的原始存储介质，无法实现溯源与核实。比如在笔者办理的陈寿某跨境网络赌博犯罪一案中，陈寿某在公安机关讯问期间，主动交代了其代理赌博网站的名称、网址、用户名和密码。侦查人员据此对位于柬埔寨的主控服务器进行了远程登录，提取到该跨境赌博犯罪组织的组织结构、赌资往来和盈亏数据等，据此认定了案涉的赌博犯罪事实。但该账户密码可被随时修改，尤其在跨境网络赌博犯罪案件中，赌博网站的网址、用户名和密码经常变更，那么所获得数据就难以溯源核实。

在刑事诉讼中，区分可溯和不可溯跨境电子证据的意义在于：不同类型的跨境电子证据具有不同的真实性基础，对不同真实性基础的电子证据应适用“繁简分流”的不同审查法，即对于可溯的跨境电子证据适用简单审查法，对于不可溯的跨境电子证据适用复杂的综合审查法。“类型化”审查法可避免两个极端：一方面转变“不审查原则”的极端，避免法院对跨境电子证据“照单全收”，以保障被告人的诉讼权利和发现真相；另一方面可避免出现“全面审查”的极端，提高诉讼效率和降低诉讼成本。

对于可溯的跨境电子数据，因为其真实性基础可靠，可被经验感知，因此可适用简单的审查法——推定其具有真实性。如果一方对真实性提出异议，应当承担初步的证明责任。如果异议方能够初步证明该电子数据真实性存疑的，且该跨境电子数据对案件的定罪量刑有影响的，可请求被请求国予以核实并出具核实报告；如果异议方不能完成初步证明责任，则认定其真实性。比如在李向南故意杀人案件中，美国警方向我国办案单位移交了如下的境外电子数据：位于爱荷华州埃姆斯市韦尔奇大道203号KumGo商店、2801号麦克斯折扣店（TJmaxx）、3015号沃尔玛超市（Wal-Mart）的监控视频，被害人邵某乙AppleNewipad内微信记录、HTC手机通话记录、短信记录，证人Kwok手机通话记录等。因为这些电子数据均具有可溯性，诉讼中各方对其真实性均无异议，没有必要进行全面审查。即使辩方对其真实性存在异议，也需提供初步证明，方可进行进一步的真实性审查。

对于不可溯的跨境电子数据，因其真实性基础薄弱，需要综合运用多路径进行分层次的审查——可称为“七步”审查法，具体包括：辅助证据审查法、交叉询问审查法、独特性特征审查法、取证规则审查法、技术保障审查法、科学鉴定审查法和印证审查法。

三、跨境电子证据真实性的“七步”审查法

（一）运用辅助证据进行真实性审查

所谓“辅助证据”，就是用于证明某一证据来源真实的证据。比如公安部《电子取证规定》第12条规定，“对扣押的原始存储介质，应当会同在场见证人和原始存储介质持有人（提供人）查点清楚，当场开列《扣押清单》一式三份，写明原始存储介质名称、编号、数量、特征及其来源等，由侦查人员、持有人（提供人）和见证人签名或者盖章，一份交给持有人（提供人），一份交给公安机关保管人员，一份附卷备查。”其中的持有人、见证人签名就起到证明来源可靠的作用。第13条规定，“由于客观原因无法由符合条件的人员担任见证人的，应当在有关笔录中注明情况，并对扣押原始存储介质的过程全程录像”；第14条规定，“扣押原始存储介质，应当收集证人证言以及犯罪嫌疑人供述和辩解等与原始存储介质相关联的证据。”其中的全程录像、证人证言以及犯罪嫌疑人供述和辩解也是用于证明电子证据来源真实的辅助证据，通过审查这些辅助证据，可确定跨境电子证据的来源是否与案件有关，确定了初步关联性。

境外警方在提取电子数据时也遵循了类似的取证规则。在英国，法官对电子数据比如对某一磁带的真实性发生了怀疑，必须弄清楚该磁带的真实来源。为此可以举行听审听取控辩双方就该磁带的来龙去脉所作的举证和辩论，在对它的真实来源产生内心确信后才能将其采纳为证据。此外对于录像以及其他任何电子数据，英国法院也会遵循此类的鉴真规则。比如在R.v.Saward一案中，法庭在审前程序中用了长达四天的时间来确定光盘来源的真实性和准确性。日本《刑事诉讼法》第113条规定，“检察官、被告人或者辩护人，在执行查封证、附带记录命令的查封证或搜查证时，可以在场。”德国警察在搜查电子数据时，如果法官和检察官不在场，则应延请搜查区域的一名乡镇官员或两名乡镇公民在场见证；同时允许搜查标的占有人在场，如果占有人不在场，应延请其代理人或一名成年亲属、同住人员或邻居在场。所以，通过对辅助证据的审查，可以“初像地证明有关证据就是所宣称的证据”，在形式上实现了对证据真实性的“初步筛查”。

（二）运用交叉询问进行真实性审查

“辅助证据”审查法是一种静态的审查方法，运用规则存在条件假定，即用于证明的在案证据都是真实可靠的；如果在案其他证据不可靠，则可能造成“假印证”的冤假错案。因此，不能囿于静态的审查法，还应当运用动态的交叉询问法进行审查。

交叉询问法是英美法系国家检验电子数据真实性的重要方法。英美法系至今已形成了精致和完善的“交叉询问”规则，被称为发现真相而发明的迄今最大的法律引擎。一些大陆法系国家融合英美法系的“交叉询问”规则，形成了“混合制交叉询问模式”，该规则既有利于调动控辩双方的积极性、主动性，同时又有利于发挥法官平衡和控制作用的交叉询问模式。比如德国《刑事诉讼法》第239条第款规定，“在交叉询问之后，审判长也可以对证人、鉴定人提出他认为为了进一步查明事实有必要提出的问题”。日本《刑事诉讼规则》第199条第9款规定，“在法院依职权调查证人的场合，审判长或者陪席法官询问后，诉讼关系人询问时，依照反询问的规定进行”。我国台湾地区“刑事诉讼法”第166条至第166之5条规定，“由当事人声请并发起的交叉询问，法官在当事人询问前、询问后根据案件的具体情况介入案件询问程序，或补充询问或澄清疑点”。

在电子证据真实性的交叉询问方面，美国《联邦证据规则》第901条第9项规定，对于过程或系统证据的鉴真，应通过“描述某过程或者系统，并表明该过程或者系统产生了准确结果的证据”予以证明，也即应当由取得该电子数据的侦查人员出庭接受交叉询问。在United  states  v.Bennett案件中，Bennett的船只受到了美国警方的搜查，发现其从墨西哥向美国走私大麻。美国海关工作人员Chandler在审判时接受交叉询问称，其在搜查Bennett船只时发现了一个全球定位系统（GPS），GPS回放表明该船只从墨西哥进入美国，但他并没有获得GPS的任何数据记录。地区法院采信了Chandler关于看到GPS回放记录的证言，上诉法院却认为，Chandler并没有获得GPS的数据记录，其以GPS为根据作出的证言不可采。在英国，也同样通过交叉询问的鉴真方法审查电子数据的真实性。在R.v.Robson一案中，法官通过交叉询问确认了磁带录音的真实性。

在我国，通过询问方式对跨境电子证据来源进行审查有现实必要性。一方面，在国际刑事司法协助中，境外执法人员在移交证据时，有时拒绝提供辅助性证据或办理证据移交手续，跨境证据的来源就需要我国参与移交警务人员的证明。比如“电信诈骗解释二”第14条规定的情形，“通过国（区）际警务合作收集或者境外警方移交的境外证据材料，确因客观条件限制，境外警方未提供相关证据的发现、收集、保管、移交情况等材料的，公安机关应当对上述证据材料的来源、移交过程以及种类、数量、特征等作出书面说明，由两名以上侦查人员签名并加盖公安机关印章。经审核能够证明案件事实的，可以作为证据使用”，在此情况下，如果对跨境电子数据来源有异议的，可通知侦查人员到庭接受询问。

司法实践中甚至已有通过通知境外侦查人员出庭的方式，审查境外证据来源真实性。比如在湄公河“10·5”惨案中，法院通过司法协助，通知了13名境外人员就取证过程、抓捕过程等过程性事实接受诉讼各方询问。

（三）利用独特性特征进行真实性审查

由于各国电子取证规则的差异，以及被请求国执法人员不可能完全按照我国请求书的要求进行电子取证，导致境外执法人员在取证时没有同时收集辅助证据，就难以用辅助证据证明跨境电子证据的来源。此时，可通过“独特性特征”进行真实性审查，即审查电子证据的内容是否含有与本案密切关联的元素，比如是否有案涉被告人的照片、姓名、犯罪组织结构等。在实务中，有些检察机关要求侦查机关就涉案的境外网站数据与所获取的在案数据进行相似性鉴定，通过相似性来证明“独特性特征”。

在境外，通过“独特性”证明是检验电子数据来源可靠性的重要手段。比如在United  States v. Albert  Gonzalez案件中，三名男子被指控在网上窃取信用卡号码等多项罪名。政府提供了两组证据：一是据称被告在一台电脑服务器上存储的黑客程序和被盗的信用卡号码；在逮捕一名共同被告时查获的笔记本电脑中的文件。前述证据是在拉脱维亚和土耳其国家警察的协助下收集的。政府向协助获取证据的外国国民提出司法协助条约请求，以提供证词，但无法确保能够获得此类证据。为防万一，政府通过间接证据论证跨境电子证据的真实性，即以案涉服务器的“独特特征”对跨境电子证据进行自我鉴真，包括：计算机服务器和对服务器的取证映像是“基本相同的”；合作见证人提供的IP地址托管在目标服务器上；在合作证人和被告被捕后，服务器上的主题文件均未被修改；审查员能够使用合作证人提供的密码打开服务器上的文件政府还提交了在共同被告人被捕之前没收的笔记本电脑中的文件的取证图像。该图像是在共同被告被拘留后出现的，而且，律师还表明：在被捕日期和图像创建日期之间没有文件被修改；被捕当天拍摄照片显示的是同样的“火星”登录屏幕；包含的聊天记录图像与被告电脑上的聊天记录相同（几个月后被扣押），以及与卧底特工电脑发送给共同被告的聊天记录相同，该图像与先前搜索中由同一台笔记本电脑生成的图像有几个共同点，包括相同的聊天日志、登录屏幕和密码相同的文件容器。据称这是一个通过间接证据进行鉴真的成功案例，即政府在很大程度上依赖于通过法庭科学技术成像和对各种设备的分析收集到的证据。

在“独特性”证明中存在一个证明标准问题，即“独特性”需达到何种程度才能完成证明与案件存在关联，是严格证明标准还是优势证据标准？在Griffin  v.  State案件中，法院采取了严格证明标准。在该案中，马里兰州上诉法院认为，由于州政府未能正确验证从MySpace个人资料中提取的包含申请人的女朋友据称对州证人做出的威胁性陈述的打印件，因此撤销并发回了对被告的定罪。虽然州政府试图通过使用首席调查员的证词来验证输出的打印件，因为他知道这是申请人女朋友的档案，因为里面有她和申请人的照片、她的出生日期以及其他指向申请人的细节，但是州政府从未就该主题涉及的问题询问过申请人的女朋友。而政府的其他主张不足以构成自我鉴真。笔者认为，由于“独特性”证明属于程序性证明，可采取优势证据的证明标准，以避免对案件有重要影响的电子证据被排除在外。

（四）运用取证规则进行真实性审查

在证据来源可靠得到证明以后，需要进一步审查跨境电子证据内容的可靠性，首先可以运用电子取证规则进行真实性审查。

1.境外执法机构的电子取证规则

《电子数据规定》和《电子取证规定》规定了电子取证的规范流程，见图1所示。电子取证规程是保证所获电子证据可靠性的技术担保，是可靠性保证的第一道程序。如果背离或疏漏了相关技术规程，则存在电子数据内容被污染、丢失或错乱的可能性，无法担保其可靠性。由于科学技术具有标准统一性和共享性，因此，其他国家在受托进行电子取证时，也几乎遵循相同的技术规范。在审查跨境电子证据时，可按照我国的电子取证规程审查境外执法机构是否遵循了相同或类似的取证程序，以确保其基础真实性。

图1.电子证据流程图

当然，从证据规则看，每个国家对电子取证规则的规定在细节上不尽相同，无法与我国的电子取证规则一一对应，严格按照我国的电子取证规则进行审查并不现实，所以只能以“实质性”保护为标准进行审查，即境外执法机构在取证流程上只要能够实质性地保证了电子证据的完整性即可。如果需要严格审查其取证程序是否符合被请求国的电子取证规则，则应由检控方同时向法庭披露被请求国所依据的电子取证规范，以便辩方将取证过程与被请求国的取证规则进行比对、甄别，确认取证程序的合规性。由此对控方提出了一个请求国际刑事司法协助时的额外要求，即在请求他国提供国际刑事司法协助时，应当同时要求提供取证所依据的相应法律或规范性文件，以便进行有效的质证。

前述就电子证据的来源和提取过程所提出严密性程序要求，就是证据法学中的“鉴真”。鉴真方法之所以能够对电子数据的真实性提供担保，是因为取证过程的连续性程序设计可以为回溯、再现、还原取证过程提供依据，通过反向审查取证过程，能够甄别在提取电子数据时是否存在被调包、修改或遭受污损的情形。通过取证规则的鉴真，是世界各国通用的证明规则。比如在加拿大2014年的R.v.Fedron案件中，上诉法院认为，警方在逮捕Fedron附带搜查其手机，符合附带搜查的普通法规定。但智能手机涉及持有人的重要隐私，因此需要对附带搜查手机的内容和范围作出平衡，包括对搜查程序的保障，比如警方必须详细记录他们对手机搜查的范围、搜查时间、搜查目的、搜查期限、搜查方法和过程以及搜查结果。因为这些过程性的记录对审查证据的有效性具有重要意义。

2.我国侦查机关的网络远程勘验取证规则

根据《电子数据规定》和《电子取证规定》的规定，对于特定的跨境电子数据，我国侦查机关可通过网络远程勘验的技术手段进行单边跨境电子取证。对于远程勘验取证，其真实性担保的程序性方法有：制作《远程勘验笔录》，其内容应当客观、全面、详细、准确、规范，能够作为还原远程计算机信息系统原始情况的依据；制作《在线提取笔录》，注明电子数据的来源、事由和目的、对象、提取电子数据的时间、地点、过程，不能扣押原始存储介质的原因，并附有《电子数据提取固定清单》，注明类别、文件格式、完整性校验值等；由符合条件的见证人见证，或进行屏幕录像或录像机录像。通过比对电子取证记录与相关技术规范，可审查发现跨境电子取证是否符合技术规范要求。

（五）运用技术措施进行真实性审查

遵循电子取证规则所获得得的跨境电子证据，并非一定是可靠的证据，这是因为：一是电子数据在最初生成、存储时因为算法问题而并非一定可靠，二是电子证据在之后的镜像复制、储存和保管过程中可能出现数据的稳定性和完整性问题。所以，在通过电子取证规则审查后，需进一步通过技术措施进行完整性审查。

实物证据的传统鉴真方法为“保管链证明”，而电子数据具有虚拟性特征，其证据形态和取证规则与实物证据明显有别，传统的鉴真方法不能满足对真实性的需求。在此情况下，催生了基于电子数据特性的鉴真方法，比如完整性校验值、可信时间戳、数字签名、区块链存证等信息技术的鉴真方法，即“技术性鉴真”法。技术性鉴真属于自我鉴真，只要电子数据通过前述任一鉴真手段进行固定保全的，可推定该电子数据具有真实性，比如2021年最高院《人民法院在线诉讼规则》规定区块链存证具有“推定真实”的效力。美国《佛蒙特州证据规则》第902条第13项也将区块链存证作为电子数据自我鉴真的方法之一。电子数据的技术性鉴真“主要借助算法程序、数据代码等技术手段来实现电子数据同一性和真实性的证明与认定”，具有高效性和便捷性，已被各国公认为审查电子数据真实性的有效方法。

当然，对技术性鉴真不能盲目信任，需警惕“技术造假”。比如在我国一起行政处罚案件中，行政机关提供了数十份的电子证据，但这些电子证据的哈希值竟然是连号的，这在电子技术上是不可能发生的。所以，对于技术性鉴真也需进行实质性审查。

（六）运用科学鉴定进行真实性审查

然而，并非所有的跨境电子证据都可以通过技术性鉴真得以保证其真实性，相反，在实务中，境外执法机构移交的电子证据往往没有真实性的技术担保措施，比如没有计算某一电子证据的哈希值或采取其他任何的真实性技术保障措施。此时，需要对跨境电子证据完整性进行科学鉴定，以保证其完整性。

对电子数据的真实性问题，学界不少学者主张“易失真论”，认为“本身具有易被修改且不易被察觉的特性”。但电子数据具有可回溯性以及关联痕迹、附属信息的不可擦写性，使得任何对电子数据的修改、破坏都可以通过信息技术的鉴定手段进行识别，从而准确审查电子数据的真假。从这个意义上说，电子证据是具有稳定性和安全性的可靠证据。因此，一旦诉讼各方对境外电子数据本身的真实性存疑时，可以通过电子数据司法鉴定予以甄别。比如在最高人民检察院第67号指导案例中，在审查起诉阶段，检察人员犯罪嫌疑人归案时间在前，而电子数据无污损鉴定意见的鉴定起始时间在后，不排除电子数据被增删或修改的可能性。为此，检察人员会同侦查人员共赴国家信息中心电子数据司法鉴定中心，向专家咨询电子数据的恢复、   提取和无污损鉴定等相关问题，解决了对境外起获设备中提取的电子数据无污损鉴定起始基准时间计算问题。最后又由国家信息中心电子数据司法鉴定中心重新作了无污损鉴定，完成了对境外电子数据本身的鉴真。

（七）运用印证规则进行真实性审查

技术性鉴真或科学鉴定只能保证跨境电子证据从获得至法庭展示之间，电子证据处于稳定性状态，但不能确保电子证据在被侦查人员获取之前就是真实的。为了审查跨境电子证据在获得之前即处于自然的无修改状态，还需要对跨境电子证据的原始性进行检验，印证规则是检验跨境电子证据原始性的有效方法。

自龙宗智教授将我国刑事证明模式概括为“印证证明模式”以来，印证之于我国司法，完成了从经验到理论、从理论到规范的变迁，已然成为我国刑事证明的基本模式，对我国司法实践具有积极意义。印证可以“为证明提供根据”“降低错判风险”和“加强事后监督的操作性”，还能够作为瑕疵证据是否予以采信的判断标准。当跨境电子数据因没有原始存储介质进行检验时，可将跨境电子数据与在案其他证据进行比对、甄别，如果其数据信息与其他主要证据相互支撑、相互交融而形成“印证关系”，则可以认定该电子数据具有真实性。比如在陈某某走私废物一案中，辩护人对俄罗斯海关于2015年4月2日提供了相关电子数据的合法性与真实性提出异议，法院以该境外电子数据与案情相关联并能与其他境内证据相印证为由，采信了该电子数据。在最高人民检察院第67号指导性案例中，最高检也认为在审查数据内容的真实性时，应“通过审查在案言词证据能否与电子数据相互印证，不同的电子数据间能否相互印证等，核实电子数据包含的案件信息能否与在案的其他证据相互印证”。

来源：中国政法大学刑事辩护研究中心，作者：吴国章 福建壶兰律师事务所律师

电子证据的关联性审查

阅读原文

跳转微信打开

应当密切留意网络服务提供者在业务运营过程中因协助侦查而受到的不利影响。

来源：检察日报，作者：梁坤　西南政法大学教授、博士生导师，赵枭 四川省邛崃市人民检察院检察官

　　在数字时代，网络服务提供者基于对海量用户数据的实际掌控角色和数字技术方面的专业能力，已成为犯罪侦查中不可或缺的重要参与者。然而，网络服务提供者在协助侦查过程中的具体执行、责权分配等尚未形成统一、清晰的规范体系，导致实践中呈现出诸多方面的问题。构建科学完备的网络服务提供者协助侦查规范体系，既是刑事司法程序中提升网络犯罪侦查效能的现实需求，更是平衡犯罪防控与权利保障的制度基石。

协助侦查是网络服务提供者的法定义务

　　从有关协助侦查的网络服务提供者的主体规范来看，近年来已逐渐迈向体系化，范围也越发清晰。作为协助侦查的主体，网络服务提供者这一概念实际上存在上位概念，即“单位和个人”，特别是法律规范层面概括性表述的“单位”。刑事诉讼法第54条在一般意义上规定了有关单位协助侦查的法律义务，要求其在侦查机关收集、调取证据时“应当如实提供”。在此基础上，该法在第二编第二章的“侦查”部分，对有关单位的协助义务进行了明确表述，强调其“应当配合”。这些规定中虽然没有出现网络服务提供者的称谓，但从法律解释的角度而言，理应适用于网络服务提供者。

　　根据网络服务提供者协助侦查工作的具体情况，近年来也出现了关于协助主体的专门性规范。“两高”《关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》第1条对刑法第286条之一第1款规定的“网络服务提供者”进行了界定，几乎涵盖了互联网生态中所有的关键角色，具体指向多种类型的网络基础服务提供者、应用服务提供者及公共服务提供者。反电信网络诈骗法虽然没有出现“网络服务提供者”这一表述，但是其中规定的向公安机关提供技术支持和协助的“电信业务经营者、互联网服务提供者”，实际上就属于网络服务提供者。

　　综上，网络服务提供者无论是作为概括性表述的“单位”，还是具体的应用服务提供者等特定主体，总体来看在规范层面的范围已经得到了圈定。此外，上述关于协助主体的相关规定，还将网络服务提供者协助侦查的活动界定为法律义务，需要配合侦查机关的取证活动。因此，作为协助侦查的主体，网络服务提供者不仅仅是犯罪侦查中的重要参与主体，而且还是法律义务的履行主体。这样一种界定明确了网络服务提供者协助侦查的法律性质，从而将其明显区别于刑事程序中只是受聘请、指派而提供专门协助工作的“有专门知识的人”。

明确协助侦查的措施

　　网络服务提供者协助侦查的具体措施，可以从程序法的规定中进行体系化的梳理。根据刑事诉讼法第54条、第129条、第137条、第144条、第152条等的规定，作为概括性规定的“单位”，应当在侦查机关为调取证据，保护现场，查询及冻结犯罪嫌疑人的存款、汇款、债券、股票、基金份额等财产而采取技术侦查时，承担配合义务。

　　如果说上述规定属于宽泛地适用于包括网络服务提供者在内的所有“单位”的话，那么刑事诉讼法的配套规定则就网络服务提供者协助侦查机关开展电子取证的具体措施作出了更为细化的制度安排。例如，《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》第12条、第13条，《公安机关办理刑事案件电子数据取证规则》（下称《规则》）第37条、第41条就网络服务提供者配合调取、冻结电子数据的相关程序要求和技术方法进行了规定，对于侦查中电子取证的规范化起到了重要的推动作用。

　　通过梳理上述规范，可以看出网络服务提供者协助侦查的措施近年来呈现出从一般到特殊的规范化发展趋势。可以预见的是，虽然上述配套条款只是在调取、冻结层面规定了网络服务提供者的相关协助工作，但是其他侦查措施的执行涉及网络服务提供者协助的，在规范层面也应当得到类似的重视。例如，《规则》第33条第1款规定：“网络在线提取或者网络远程勘验时，应当使用电子数据持有人、网络服务提供者提供的用户名、密码等远程计算机信息系统访问权限。”在实践中，对于网络服务提供者掌握的用户名和密码，因涉及相较于用户注册信息而言更为重要的隐私保护，公安机关是否可以采取调取的方式获取，便存在不同的认识。这主要是规范层面尚不明确所致，因而需要在完善电子取证措施条款时加以关注。

　　此外，由于网络犯罪的全球化趋势越发显著，各国各地区协同打击网络犯罪的工作机制必将得到进一步深化，而其中也离不开网络服务提供者的重要参与和协助。2025年10月，我国政府在越南河内正式签署《联合国打击网络犯罪公约》（下称《公约》）。该《公约》在第四章“程序措施和执法”部分，规定了一系列关于电子取证的程序措施。具体到第25条至第30条的各项措施而言，除了第28条的“搜查和扣押存储的电子数据”外，其他条款全部涉及“服务提供者”的协助配合。甚至可以说，该《公约》中“程序措施和执法”章节规定的电子取证措施，很大程度上就是围绕着“服务提供者”打造的。

　　我国应当强化国内法的刑事程序与《公约》条款衔接的研究，就《公约》条款具体涉及的快速保全和部分披露流量数据、提交令、实时收集流量数据、拦截内容数据等程序措施进行充分的国内法衔接准备。从网络服务提供者协助侦查的角度出发，《公约》为我国刑事程序措施相关规范体系的进一步丰富和发展提供了重要的参照。

　加强协助侦查的保障性规定

　　虽然刑事程序为网络服务提供者设定了协助侦查的法律义务，但在不少案件侦查过程中，网络服务提供者因各种原因未予配合抑或拒不执行的情况并不鲜见。对此，法律规范有必要作出有针对性的回应，以确保网络服务提供者协助侦查义务能够在真正意义上得到落实。

　　具体而言，有必要安排相应的法律惩戒方案，使程序规则具备完整的规范要件，从而确保网络服务提供者协助侦查义务的具体实现。根据治安管理处罚法第61条、第72条的规定，如果确认网络服务提供者未实际履行协助侦查的法律义务，从而可认定为“阻碍国家机关工作人员依法执行职务”或者“伪造、隐匿、毁灭证据”，便可对其处以警告、罚款；情节严重的，可处五日以上十日以下拘留，并处1000元以下罚款。而根据数据安全法第35条、第48条的规定，如果网络服务提供者作为“有关组织”拒不配合调取数据的，可由有关主管部门责令改正，给予警告，并处5万元以上50万元以下罚款，对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。

　　根据上述规定，侦查机关可以在侦查程序中通过行政处罚的形式，促使网络服务提供者履行协助侦查义务。当然，在一些特殊的情况下，网络服务提供者拒不提供相关数据资料的，还可能触犯“隐匿、故意销毁会计凭证、会计账簿、财务会计报告罪”，从而受到刑事处罚。综合来看，这些做法都是在强调网络服务提供者协助侦查的法律义务，并且通过设置法律惩戒的形式确保法律义务的履行。

　　需要特别注意的是，网络服务提供者协助侦查，很多情况下需要付出人力、时间和经济成本，因技术层面的客观原因也可能在特定情况下没有办法向侦查机关提供协助。这些在实践中无法回避的情况，都应当受到规范层面的关注。

　　此外，应当密切留意网络服务提供者在业务运营过程中因协助侦查而受到的不利影响。正因如此，《公约》在第四章“程序措施和执法”的第24条“条件和保障措施”部分专门强调，“在符合公共利益，特别是在符合正当司法的范围内，各缔约国均应考虑本章所规定的权力和程序对第三方权利、责任和合法利益的影响。”这点可以作为完善我国刑事程序法中网络服务提供者协助侦查保障规范的重要参考。

电子数据取证之使用Trae进行APP逆向分析

Wireshark 抓包分析技术

阅读原文

跳转微信打开

来源：江苏聚合天迹

阅读原文

跳转微信打开

技术可以恢复数据，但无法恢复信任... ...

来源：北京海存科仪司法鉴定中心

“我删除了和TA的聊天记录，还有可能找回来吗？”

这是我们被问得最多的问题之一。

今天，作为电子数据鉴定员，我要告诉你一个出乎意料的真相：大多数情况下，可以。

但恢复的程度和方式，可能完全不是你想的那样。

一、你以为的“删除”，并不是真的“消失”

当你左滑对话框、点击“删除”时，屏幕上显示“已删除”。但事实上，这些数据并没有立刻从你的手机里消失。

手机操作系统为了提升性能和存储效率，通常只是移除了这些数据的“索引”——就像图书馆撕掉了目录卡片，但书还在书架上。

真正的删除，需要等待新数据覆盖它们的位置。

二、四个关键因素，决定你的记录能否“重生”

1. 手机存储状态

剩余空间越小，新数据覆盖旧数据的概率越大

一个几乎满存储的手机，删除的记录可能很快就被覆盖

2. 删除后的操作类型

仅删除聊天记录：恢复概率较高，数据仍在手机存储中

卸载微信APP：恢复概率显著降低

恢复出厂设置：恢复概率极低

3. 手机品牌

不同品牌、型号差异极大

4. 时间与覆盖程度

时间越长，新数据覆盖可能性越大

手机使用越频繁，恢复可能性越低

三、现实案例：我们恢复过什么？

（案例已脱敏处理）

案例A：商务纠纷关键证据

某公司高管误删了与合作伙伴的微信工作群，涉及重要口头协议。我们恢复了90%以上的完整对话记录，成为庭审关键证据。

案例B：民间借贷纠纷关键证据

当事人曾借出600万元，后唯一证明人离世。其误删与债务人全部聊天记录，且遗忘旧手机密码。债务人坚称款项为“投资”，否认借贷。我们通过专业手段破解手机密码，深度恢复2017年被删除的聊天记录，提取出包含“借款”“600万”“还款日期”等关键对话。该电子证据形成完整证据链，成为庭审决定性依据，最终助力当事人胜诉。

案例C：婚姻纠纷关键证据

原告发现配偶婚内与第三者存在异常经济往来，涉及车辆购买、奢侈品消费及多笔转账。我们通过电子数据恢复，成功提取双方亲密聊天记录及大额消费支付凭证，形成完整的婚外情经济证据链，有力支持了原告关于共有财产被不当处置的主张。

案例D：企业员工恶意删除数据关键证据

某公司发现离职员工在离职前大量删除工作数据。我们通过专业取证技术，不仅恢复被删除的业务文件，还固定了其主动执行删除操作的系统日志等关键痕迹。恢复的证据为该公司后续维权提供了决定性的技术支持。

四、重要提醒

❌误解：“任何维修店都能恢复”

非专业操作可能导致数据二次损坏

某些不当操作会触发手机安全机制，永久擦除数据

五、如果你需要恢复数据，该怎么做？

最佳操作流程：

立即停止使用该手机

理想状态：开启飞行模式并关机

如果已经恢复出厂设置，请勿重新激活或安装应用

不要尝试“自己动手”

避免安装各种“数据恢复”APP（它们可能写入新数据）

不要连接电脑进行非专业备份操作

联系专业机构

提供手机型号、系统版本、删除时间、是否恢复出厂设置

明确你的需求与预期

恢复目的是个人回忆，还是法律证据？

六、关于隐私的严肃提醒

作为专业鉴定机构，我们必须强调：

正规机构只接受合法委托

数据恢复的目的应是维权取证而非侵犯隐私

处理旧手机时，务必使用安全擦除方法，保护个人隐私

最后的真相：

技术可以恢复数据，但无法恢复信任；

数据可以找回痕迹，但情感需要真实面对。

手机存储的或许是一串串代码，但生活本身，需要更真诚的书写。

阅读原文

跳转微信打开