本文共 836 字，大约阅读时间需要 2 分钟。

电子数据取证技术—读书笔记

《电子数据取证技术》这本书对很多取证的基础知识和工具做了非常全面的讲解，作为第一套计算机犯罪侦查专业系列的教程，值得用心去读一遍

6.1 数字时间取证

取证目标的时间检查注意以下因素：

• 系统时间是否准确。

• 时区和夏时制的影响

检查时不仅要通过系统时间查看，还得查看注册表中当前时区，所对应的注册表的位置在:

计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Time Zones 保存了所有时区

• 进程和应用程序写入的时间戳

某些防病毒软件对文件扫描之后都会改变最后访问时间（部分杀毒软件扫描完后会恢复），如果进行了修复的话最后访问时间和修改时间都会改变

• 取证工具和人员的影响

时间的更新规律

时间取证判断的规律：

时间取证的工具一般有DCode和DateDecoder。前者是图形化的界面，易于理解，后者是终端命令，但是可以将时间与其表现形式双向解析。

文件系统创建时间

FAT分区中，如果设置卷标，在FAT表头会出现卷标记录。