MSOffice系列办公文档取证分析研究

摘要

在电子取证中，办公文档是重要的证据资料。以取证实践总结了办公文档取证调查的经验。针对国内情况，从缓存机制、文档元数据、用户对文档操作的痕迹、文档文件的数据恢复以及建立时间线的分析方法等进行了系统的介绍，同时涵盖了各个版本的Microsoft Office和WPS两套办公软件以及Windows XP、Windows Vista／7／8等主流操作系统。同时兼顾了离线取证和开机取证，并介绍了各种相关取证工具。