本書提供了很多嶄新和可靠的取證模塊、庫和解決方案，可以直接用于Python取證分析，同時(shí)隨代碼示例提供的詳細(xì)說明和文檔，能讓即使是Python編程新手也能獲得意料之外的提升，或者使用這些模型建立新的解決方案。
幾乎在所有案件和環(huán)境中，新的網(wǎng)絡(luò)犯罪調(diào)查工具的快速研發(fā)是一個(gè)必備的組成部分，不管你是進(jìn)行事后的調(diào)查，執(zhí)行開機(jī)預(yù)檢，從移動(dòng)設(shè)備或云服務(wù)提取證據(jù)，還是從網(wǎng)絡(luò)收集和處理證據(jù)，使用Python取證都能填補(bǔ)這些關(guān)鍵能力的空缺。
● 提供能親手開發(fā)的工具、代碼示例，以及詳細(xì)的說明和文檔，可以即刻投入使用。
● 討論如何建立一個(gè)Python取證平臺(tái)。
● 涵蓋使用Python的高效搜索和索引方法。
● 介紹使用多線程模塊，極大地提升常見取證方法的性能。
● 展示使用Python腳本進(jìn)行網(wǎng)絡(luò)調(diào)查的完整內(nèi)容。


中譯本序
有幸與湖北警官學(xué)院的張俊老師相識(shí)，我們經(jīng)常在學(xué)術(shù)會(huì)議間隙，或者相互訪問的交流過程中探討電子數(shù)據(jù)取證的問題。張俊老師從事電子數(shù)據(jù)取證的教學(xué)和科研工作多年，培養(yǎng)了很多優(yōu)秀的學(xué)生，他還積極參與電子數(shù)據(jù)取證的司法鑒定工作，辦理了許多重大和復(fù)雜的案件。張俊老師一直活躍在電子數(shù)據(jù)取證領(lǐng)域，并不斷關(guān)注和跟蹤國內(nèi)外最新的技術(shù)發(fā)展，所以他有心翻譯和出版這樣一本書，我覺得一切都是順理成章的事情。
本書作者Chet Hosmer和技術(shù)編輯Gary C. Kessler也是信息網(wǎng)絡(luò)安全業(yè)界的專業(yè)人士，他們都是知名的專家，有著長期的專業(yè)經(jīng)歷和豐富學(xué)識(shí)。他們將寶貴的經(jīng)驗(yàn)和專業(yè)知識(shí)毫無保留地在書中傳授，這將有利于專業(yè)人才的成長，有助于立志從事電子數(shù)據(jù)取證的技術(shù)人員和法律人士快速進(jìn)入這一領(lǐng)域。
電子數(shù)據(jù)取證是一個(gè)發(fā)展時(shí)間相對(duì)較短的領(lǐng)域，還有很多的技術(shù)問題、法律問題尚待解決。香港大學(xué)計(jì)算機(jī)科學(xué)學(xué)系的課程也應(yīng)用了Python語言編程，我們也鼓勵(lì)從事信息安全專業(yè)的學(xué)生學(xué)習(xí)這門語言，并充分利用其簡單易學(xué)、第三方庫功能強(qiáng)大的特點(diǎn)，與專業(yè)知識(shí)相結(jié)合，針對(duì)電子數(shù)據(jù)取證的不同問題或挑戰(zhàn)，開展創(chuàng)造性的工作，提出切實(shí)可行的解決方案。
這本書提供了廣泛的例子，便于不了解編程或只擁有初級(jí)技術(shù)的開發(fā)人員使用。我們盼望著更多充滿智慧和理想的新人的加入，期待你們所有人分享思想、知識(shí)和經(jīng)驗(yàn)，一起推進(jìn)這一事業(yè)的發(fā)展。


鄒錦沛博士（Dr. CHOW KAM PUI）
香港大學(xué)信息安全和密碼學(xué)硏究中心（CISC）
香港大學(xué)計(jì)算機(jī)科學(xué)學(xué)系
2016年11月18日于香港大學(xué)


譯者序
電子數(shù)據(jù)取證技術(shù)的研究和應(yīng)用在國內(nèi)得到了越來越多的關(guān)注。全世界的專家和學(xué)者在提及信息網(wǎng)絡(luò)安全時(shí)，關(guān)注的重點(diǎn)多集中于算法理論的研究、技術(shù)方法的對(duì)抗以及規(guī)范策略的制定等，毫無疑問這些問題極為重要。然而，信息網(wǎng)絡(luò)安全的最后一道防線必然訴諸法律。最近幾年電子數(shù)據(jù)作為一種獨(dú)立證據(jù)類型，逐漸得到各類法規(guī)的認(rèn)可，例如在深圳快播公司涉嫌傳播淫穢物品牟利案的庭審中，關(guān)于電子證據(jù)的控辯，就引發(fā)了司法界對(duì)電子證據(jù)的廣泛關(guān)注。作為向法庭呈貢證據(jù)的偵查人員、電子數(shù)據(jù)取證司法鑒定人，他們的知識(shí)、水平和能力成為關(guān)鍵。但現(xiàn)實(shí)的問題是，由于計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，以及案件的復(fù)雜和規(guī)�；�，已有的電子數(shù)據(jù)取證工具在很多情況下并不能替?zhèn)刹槿藛T或司法鑒定人自動(dòng)完成他們所需的全部工作，或者完成更高級(jí)的取證調(diào)查任務(wù)。例如，用現(xiàn)有的工具軟件提取一部手機(jī)的通話、短信和即時(shí)通信記錄，通�？梢缘玫綌�(shù)吉赫茲的數(shù)據(jù)，往往一個(gè)案件涉及十幾部或更多的手機(jī)，因此數(shù)據(jù)量更大。如果偵查人員或司法鑒定人能夠快速地編寫代碼，進(jìn)行定制的搜索和索引，將極大地提高從這些海量的半結(jié)構(gòu)化數(shù)據(jù)中高效地得到關(guān)鍵證據(jù)的能力。
譯者長期從事電子數(shù)據(jù)取證的科研和教學(xué)工作，并作為司法鑒定人，參與了大量重、特大案件的電子數(shù)據(jù)取證調(diào)查工作，在這些過程中一直反復(fù)思考上述這些問題。一個(gè)偶然的機(jī)會(huì)，看到了Python Forensics: A Workbench for Inventing and Sharing Digital Forensic Technology一書，立刻被它的內(nèi)容所吸引，感覺找到了問題的答案。本書的特點(diǎn)在于，使用Python語言上手快，第三方庫豐富，調(diào)查員可以方便地編寫代碼來完成復(fù)雜的、特定的取證任務(wù)，而且無須過多關(guān)注語言細(xì)節(jié)，從而能將主要精力放到取證任務(wù)本身。另外，本書體現(xiàn)了開發(fā)過程滿足多伯特（Daubert）證據(jù)標(biāo)準(zhǔn)的重要性，也就是設(shè)計(jì)、開發(fā)、測試過程符合特定的證據(jù)標(biāo)準(zhǔn)。這些特點(diǎn)也是開發(fā)普通程序與取證程序的最大區(qū)別。
作者Chet Hosmer不僅是信息網(wǎng)絡(luò)安全、電子數(shù)據(jù)取證領(lǐng)域的從業(yè)人士，也是一名教育工作者，作為Utica學(xué)院網(wǎng)絡(luò)安全研究生課程的客座教授，他擅長從調(diào)查員視角講解如何用Python語言進(jìn)行電子數(shù)據(jù)取證。本書在介紹如何建立一個(gè)Python取證環(huán)境的基礎(chǔ)上，首先詳細(xì)講解開發(fā)一個(gè)取證應(yīng)用的基本框架，然后每一章都針對(duì)網(wǎng)絡(luò)犯罪取證的一個(gè)不同問題，討論能夠自由使用、分享和擴(kuò)展的Python指導(dǎo)性解決方案，包括哈希、關(guān)鍵字搜索、元數(shù)據(jù)、自然語言處理、網(wǎng)絡(luò)分析以及利用云的多進(jìn)程等。最后，對(duì)Python應(yīng)用于網(wǎng)絡(luò)犯罪調(diào)查，以及更廣泛領(lǐng)域的網(wǎng)絡(luò)安全應(yīng)用，高性能硬件加速和嵌入式解決方案等在未來的機(jī)遇進(jìn)行了展望。作者認(rèn)為，能否建造自己的取證工具庫，是區(qū)分初級(jí)取證調(diào)查員與專業(yè)取證調(diào)查員的關(guān)鍵。全書貫穿著一個(gè)資深調(diào)查員通過長期實(shí)踐得出的理念。作為前輩，他諄諄告誡后來者：只有當(dāng)我們（調(diào)查人員）理解工具如何工作時(shí)，它們才真正是我們的工具。他正是以這一核心指導(dǎo)原則展開了本書全部內(nèi)容。
電子數(shù)據(jù)取證是計(jì)算機(jī)科學(xué)、法學(xué)等的交叉領(lǐng)域，技術(shù)開發(fā)人員和法律工作者以不同的知識(shí)背景進(jìn)入該領(lǐng)域，他們從各自角度去理解電子數(shù)據(jù)證據(jù)的提取、分析和呈貢，并且在專業(yè)詞匯、思維過程、解決問題的方式等方面有很大區(qū)別，形成了介于一個(gè)自然科學(xué)和社會(huì)科學(xué)之間的“溝壑”。所以，本書的另一個(gè)目的是試圖建立起工程學(xué)（如計(jì)算機(jī)科學(xué)、信息科學(xué)）與社會(huì)科學(xué)（如法學(xué)）之間的橋梁。技術(shù)開發(fā)人員和法律工作者通過閱讀本書，提升對(duì)取證環(huán)境和工具的理解，可以輕松交流和平等參與，從而創(chuàng)造出一個(gè)協(xié)作而不互損的環(huán)境，計(jì)算機(jī)科學(xué)與社會(huì)科學(xué)都能各盡其力。我在閱讀和翻譯的過程中，深刻體會(huì)到作者毫無保留地把自己積累的寶貴經(jīng)驗(yàn)傳授給讀者。本書對(duì)讀者的編程知識(shí)（也許根本沒有）不做任何預(yù)設(shè)。只要肯用功，對(duì)書中的例子感興趣，讀者就不用擔(dān)心自己讀不懂，甚至可以將其擴(kuò)展，開發(fā)出適應(yīng)特定情形和問題的進(jìn)化版本。
以我有限的水平，要翻譯好這樣一本同時(shí)適合技術(shù)開發(fā)人員和法律工作者閱讀的著作，內(nèi)心難免不安。感謝作者Chet Hosmer對(duì)我每次發(fā)郵件向他求教或確認(rèn)問題的耐心解答。感謝我的領(lǐng)導(dǎo)黃鳳林教授和張?zhí)扉L教授，他們給予我很多指導(dǎo)和幫助。感謝武漢天宇寧達(dá)公司的CEO郭永建先生，他給出了若干非常專業(yè)的修改意見。翻譯本書時(shí)，我還向徐比超和胡壯求證過有關(guān)的示例是否有誤，他們是湖北警官學(xué)院的畢業(yè)生，現(xiàn)在戰(zhàn)斗在電子數(shù)據(jù)取證的最前線。感謝湖北警官學(xué)院的學(xué)生吳沛沛、歐陽桂申、彭洪飛、沈陽、朱俊妍參與部分翻譯校對(duì)和代碼測試工作。最后感謝我的妻子，她承擔(dān)了所有的家務(wù)重任，讓我全心投入工作，并以我翻譯本書為驕傲。
由于本人學(xué)識(shí)有限，且時(shí)間倉促，書中翻譯錯(cuò)誤、不當(dāng)和疏漏之處在所難免，望讀者批評(píng)指正。


專 家 薦 語
Hosmer不僅為各種層次的取證分析提供了一個(gè)出色的Python取證指南，還眼光獨(dú)到地闡述了如何建立一個(gè)意義非凡的協(xié)作環(huán)境，這種環(huán)境將極大地提升個(gè)人、組織以及取證社區(qū)的取證能力。對(duì)于分析人員、調(diào)查人員、管理人員、研究人員，以及其他任何對(duì)數(shù)字取證感興趣的人來說，這是一本必須讀的書！
—— Michael Duren（CISSP）
Cyber Moxie公司創(chuàng)始人


隨著當(dāng)今技術(shù)的快速變化，數(shù)字取證工具和實(shí)踐也不得不快速更新，才能保持某種程度的實(shí)用性；調(diào)查人員昨天還依賴的技術(shù)能力，今天就迅速地過時(shí)。然而，隨著新技術(shù)一起到來的也有新的工具和方法，Python語言就是其中最有可能被調(diào)查人員利用的事物之一。本書就是走在這一時(shí)代前列的一本書。正因?yàn)槿绱�，無論對(duì)于初學(xué)者還是有經(jīng)驗(yàn)的調(diào)查人員，它都是一本絕好的書。Chet Hosmer做了一項(xiàng)偉大的工作，通過循序漸進(jìn)的指導(dǎo)，幫助讀者更新舊的方法，掌握新的技能；通過合理的組織架構(gòu)，最大限度地促進(jìn)內(nèi)容理解和前后貫通。從本書學(xué)到的技能，將有助于讀者開發(fā)靈活而新穎的工具，并在若干年內(nèi)發(fā)揮作用。
—— Greg Kipper
Verizon公司高級(jí)安全架構(gòu)師和戰(zhàn)略官


本書展現(xiàn)了Python應(yīng)用于現(xiàn)代數(shù)字取證的嶄新和務(wù)實(shí)的視野，提出了關(guān)于這種語言的強(qiáng)項(xiàng)和劣勢的有價(jià)值的深刻見解。每一個(gè)有見識(shí)的取證調(diào)查員都值得花時(shí)間和精力來了解本書。
—— Russ Rogers
Peak Security公司董事長


本書對(duì)于Python取證程序員、很少或者沒有Python編程經(jīng)驗(yàn)的人都非常有用，對(duì)一個(gè)有經(jīng)驗(yàn)的程序員來說也是一本很棒的參考書。這本書考慮到了與多伯特規(guī)則有關(guān)的問題，包括測試和驗(yàn)證，這些對(duì)于取證案件鑒定是至關(guān)重要的。
—— Zeno Geradts
荷蘭法政研究所高級(jí)取證科學(xué)家和研發(fā)協(xié)同人


一如既往，Chet Hosmer提供了一個(gè)適用于數(shù)字取證的，具有全面性和突破性的解決方案和現(xiàn)代平臺(tái)。這本書寫得非常棒，很好用，為所有水平的Python取證程序員提供了一個(gè)堅(jiān)實(shí)的基礎(chǔ)，還包括關(guān)于實(shí)證檢驗(yàn)的十分必要的討論。這本書確實(shí)很簡潔，對(duì)于所有想擁有一個(gè)數(shù)字取證庫的人來說，本書值得擁有。
—— Marjie T. Britz博士
Clemson大學(xué)






序






2008年6月16日，在2歲的Caylee Anthony家里，有人用谷歌搜索了“防誤操作的窒息”的術(shù)語。隨后還是這位用戶，使用Casey Anthony的名字登錄了MySpace網(wǎng)站。幾個(gè)月后悲劇發(fā)生，警方發(fā)現(xiàn)了這個(gè)小女孩腐爛的尸體。檢察官以