。由于入侵者的证据可能存在于系统日志、数据文件、寄存器、交换区、隐藏文件、空闲的磁盘空间、打印机缓存、网络数据区和计数器、用户进程存储器、文件缓存区等不同的位置。由此看见，物理取证不但是基础，而且是技术难点。
通常的做法是将要获取的数据包括从内存里获取易灭失数据和从硬盘获取等相对稳定数据，保证获取的顺序为先内存后硬盘。案件发生后，立即对目标机和网络设备进行内存检查并做好记录，根据所用操作系统的不同可以使用的内存检查命令对内存里易灭失数据获取，力求不要对硬盘进行任何读写操作，以免更改数据原始性。利用专门的工具对硬盘进行逐扇区的读取，将硬盘数据完整地克隆出来，便于今后在专门机器上对原始硬盘的镜像文件进行分析。
“计算机法医”要看的现场是什么？（日志）
有的时候，计算机取证（Computer Forensics）也可以称为计算机法医学，它是指把计算机看作是犯罪现场，运用先进的辨析技术，对电脑犯罪行为进行法医式的解剖，搜寻确认罪犯及其犯罪证据，并据此提起诉讼。好比飞机失事后，事故现场和当时发生的任何事都需要从飞机的页码：[1] [2] [3] [4] [5] 第3页、共5页 |
