数字取证概述与发展历程
1. 数字取证相关基础说明
在介绍新工具前，通常会有一段描述该工具功能、用途以及其与数字取证相关性的内容，部分情况下还会提及工具的历史。展示任务和工具描述后，会给出一个或多个命令行示例以及命令输出，命令可能会重复以展示不同变体或扩展用法，每个命令示例后会有段落解释执行的命令及输出结果，最后还可能会提及数字取证调查中可能遇到的潜在问题、风险和常见错误。
1.1 适用范围
主要聚焦于常见存储介质的取证获取以及证据保存步骤。不过，应用程序和操作系统数据的法医分析通常不在此范围内。此外，非传统存储介质的数据获取，如网络取证获取、实时系统的内存获取、云数据获取等也不在涵盖范围内。企业级存储介质和旧存储介质虽有提及，但未提供实际示例，不过所介绍的许多方法通常也适用于这些硬件。专有设备的获取同样不在范围内，尽管书中的工具和技术可能适用于某些表现为 Linux 内核中块设备的新一代移动电话、平板电脑或物联网设备，但并未明确涵盖这些设备。
1.2 格式约定
代码、命令和命令输出示例采用等宽字体显示，类似计算机终端屏幕上的显示。无关的命令输出可能会被移除或截断，用省略号（…）代替；行过长时会换行并缩进。无需 root 权限的命令以 $ 开头，通常需要以 root 身份运行的特权命令以 # 开头，为简洁起见，sudo 或其他权限提升的使用并非每次都展示，部分章节会提供非 root 用户运行命令程序的更多信息。命令输出反映实际测试和研究结果，包括原始日期和时间戳，除了用 … 移除不相关区域和尾随空行外，未做其他改动。
1.3 术语说明
调查人员或审查人员的工作站称为采集主机或检查主机，正在
