一、 硬件是計算機系統快速、高效、可靠運行的基礎。
構成：運算器、存儲器（取證的主要對象）、控制器和I/O控制系統等部件組成。
二、 內存（Memory）
- 也稱內存存儲器，ROM\RAM。是cpu、顯卡或者其他內存板卡可以直接尋址的存儲空間。結構：
![在這裏插入圖片描述]()
- 特點：存取速度快。
- 作用：加速數據和cpu的交換。
- 內存主要用於暫時保存程序和數據，並與外部存儲器交換數據。
- 形象舉例：內存是京東，硬盤是淘寶，
![在這裏插入圖片描述]()
- 內存無法直接看到a,b,c這樣的字符或jpg圖片，只有0和1兩個數字，計算機也只認識二進制的0和1.
- 病毒靜態時存儲於磁盤中，激活時駐留與內存中
因此計算機病毒檢測分爲對內存的檢測和對磁盤的檢測。 - 內存取證
內存中有大量結構化和非結構化的數據，通過物理內存鏡像可提取有價值數據。
操作系統及各種應用軟件均經常需要與物理內存進行數據交換，由於內存空間有限，因此計算機還有可能將內存中的數據緩存於磁盤中。如：pagefile.sys(頁交換文件)及hiberfil.sys(休眠文件) - 內存取證應用
破解Bit locker加密
三、 外存 - 外部存儲設備。主要包括磁存儲器（機械硬盤）、電存儲器（固態硬盤、U盤、存儲卡）和光存儲器（光盤）。
- 磁存儲器
i. 構造：利用金屬、玻璃或塑料基體上的磁性材料的兩種不同磁化狀態記錄二進制代碼0和1的存儲設備
ii. 原理：工作時，磁層隨磁基體高速運轉，利用磁頭從磁層上讀取或寫入信息，實現了電信號與磁信號間的相互轉換。
iii. 優點：存儲量大、價格低。
iv. 缺點：存儲速度慢、機械結構複雜。
v. 分類：按載磁基體形狀和材質不同分
a) 機械硬盤（磁盤）
b) 磁帶
c) 磁鼓
vi. 機械硬盤是電子數據取證的主要對象
難點：容量越來越大、固定時間長
vii. 1973年，IBM公司推出“溫徹斯特”結構機械硬盤，第一次使用密封組件將磁盤封裝起來，這也是目前機械硬盤的機械結構。
![在這裏插入圖片描述]()
3. 電存儲器
i. 隨着半導體技術不斷革新，rom和ram基本被閃存（Flash）存儲器取代。
ii. Flash是一種存儲芯片，通過程序可修改數據
分爲NANDN flash和NOR flash
iii. 優點：取證速度快、時間段。
缺點：加密、刪除難以恢復。
iv. 閃存存儲器現在廣泛應用於內存、顯卡存、BIOS芯片等內存中，還廣泛用於U盤、固態硬盤、播放器、手機等電子設備。 - 光存儲器（光盤）
優點：廉價的數據備份
缺點：速度慢、需對應讀取設備（驅動器）
3. 電存儲器