用途：为 CTF 取证挑战提供系统性参考，覆盖磁盘、内存、日志、网络与隐写等方向，每个技巧给出一句话提示，详细内容见配套文档。
主要能力与配套文件：3d-printing.md（3D 打印取证、PrusaSlicer 二进制 G-code、QOIF、heatshrink）；windows.md（注册表、SAM、事件日志、回收站、NTFS 备用数据流、USN 日志、PowerShell 历史、Defender MPLog、WMI 持久化、Amcache）；network.md 与 network-advanced.md（tcpdump、TLS 密钥日志解密、Wireshark、PCAP、端口扫描、SMB3 解密、5G/NR、NTLMv2 破解、TCP 标志隐蔽信道、DNS 末字节隐写、dnscat2 重组、RADIUS 共享密钥破解等）；peripheral-capture.md（USB HID 鼠标/键盘、蓝牙 RFCOMM 流量重建）；disk-and-memory.md 与 disk-advanced.md、disk-recovery.md（Volatility、镜像挂载与雕刻、VMware 快照、KAPE、勒索软件密钥恢复、ZFS、APFS、RAID 5 XOR 恢复、LUKS 主密钥恢复等）；steganography.md、stego-image.md、stego-advanced.md、stego-advanced-2.md（通用、图像、音频/信号、视频及格式特定隐写，如 FFT 频域、DTMF、SSTV+LSB、PNG 调色板与 IHDR 高度篡改、JPEG DQT LSB、Arnold's Cat Map 等）；linux-forensics.md（日志分析、Docker 镜像取证、浏览器凭据与历史、Git 恢复、KeePass 破解）；signals-and-hardware.md（VGA/HDMI/DisplayPort 解码、Saleae Logic 2 UART、Flipper Zero .sub、侧信道功耗分析与键盘声学侧信道、CD 音频隐写）。
使用方式：先安装依赖。Python 包：pip install volatility3 Pillow numpy matplotlib。Linux：apt install binwalk foremost libimage-exiftool-perl tshark sleuthkit ffmpeg steghide testdisk john pcapfix。macOS：brew install binwalk exiftool wireshark sleuthkit ffmpeg testdisk john-jumbo。Ruby：gem install zsteg。快速命令包括 file、exiftool、binwalk、strings -n 8、hexdump -C；磁盘取证 sudo mount -o loop,ro image.dd /mnt/evidence、fls -r、photorec；内存取证 vol -f memory.dmp windows.info / windows.pslist / windows.filescan；PDF 使用 exiftool、pdftotext、binwalk；隐写使用 steghide extract、zsteg、stegsolve。
限制与转出：资料未提供完整步骤之外的额外细节，部分内容仅为提示。若恢复出加密数据且难点变为 RSA、AES 或格运算，转 /ctf-crypto；涉及恶意软件暂存或载荷配置转 /ctf-malware；若是 Web 备份或 API 转储转 /ctf-web；若实质为编码谜题或冷门格式转 /ctf-misc；需追踪基础设施或公开记录转 /ctf-osint；需反汇编二进制或固件转 /ctf-reverse。