三、电子证据的提取方法

值得我们注意的是，谨慎的入侵者往往在入侵结束后将自己残留在受害方系统中的痕迹”擦除掉，犹如犯罪者销毁犯罪证据一样尽量删除或修改日志文件以及其他有关记录。在Windows操作系统下的交换（windows wap）文件（一般用户不会意识到它的存在），大概有20～200M或更大的容量记录着字符处理、E-mail消息、Internet浏览行为、数据库事务处理以及几乎其他任何有关Windows会话工作的信息。另外，在Windows下还存在着文件残片（file slack），记录着大量E-mail碎片fragment ......