Windows取證：
1.事故發(fā)生的時間绞铃，縮小范圍袋励。
2.提取系統(tǒng)信息乙嘀。運行 ->Eventvwr.msc
3.web日志提取显蝌，搜索"log", 一般IIS 對應(yīng)的目錄C:\windows\system32\Logfiles
4.查看用戶 net localgroup administrators
5.查看注冊表 注冊表鍵值 预伺，查看隱藏的用戶名
6.用PCHunter 查看,電腦體檢
Linux 取證：
一般日志 ：/var/log/
歷史操作記錄： history
查看登錄成功：last
查看系統(tǒng)賬戶： cat /etc/passwd
啟動項：cat /etc/rc.local
計劃任務(wù)： crontab -l
服務(wù): cat /etc/services
查看進程： ps -ef
網(wǎng)絡(luò)連接：netstat -an
使用高的命令：
cat
grep
find
管道符：|
重定向：> 、 >>
