本书是一本电子数据取证的入门书籍，系统介绍如何应用Python编程语言进行电子数据取证软件开发。靠前章和第2章介绍Python基本知识和如何建立一个取证开发环境。第3章到靠前1章针对电子数字取证的各种需求，详细阐述指导性的解决方法，涵盖哈希计算、关键字搜索、元数据提取、网络分析、自然语言处理以及利用云的多进程等专题，并提供大量的源代码实例供读者学习、改进并应用到实际案例，靠前2章回顾了全书内容，并就未来的发展进行了探讨。

章  为何使用Python进行取证\t1
1.1  本章简介\t1
1.2  网络空间犯罪调查的挑战\t1
1.3  Python编程环境如何有助于应对这些挑战\t3
1.3.1  Python的全球支持\t4
1.3.2  开源和平台独立性\t5
1.3.3  生命周期定位\t5
1.3.4  入门的成本和限制\t5
1.4  Python与多伯特（Daubert）证据标准\t5
1.5  本书的组织结构\t6
1.6  章节回顾\t7
1.7  问题小结\t7
1.8  补充资料\t7
第2章  建立一个Python取证环境\t8
2.1  本章简介\t8
2.2  搭建一个Python取证环境\t8
2.3  正确的环境\t9
2.4  选择一个Python版本\t10
2.5  在Windows上安装Python\t10
2.6  Python包和模块\t15
2.6.1  Python标准库\t15
2.7  标准库包含什么\t17
2.7.1  内建函数\t17
2.7.2  hex()和bin()\t17
2.7.3  range()\t18
2.7.4  其他的内建函数\t19
2.7.5  内建常量\t20
2.7.6  内建类型\t21
2.7.7  内建异常\t22
2.7.8  文件和目录访问\t22
2.7.9  数据压缩和归档\t23
2.7.10?文件格式\t23
2.7.11?加密服务\t23
2.7.12?操作系统服务\t23
2.7.13?标准库小结\t24
2.8  第三方包和模块\t24
2.8.1  自然语言工具包（NLTK）\t24
2.8.2  Twisted matrix （TWISTED）\t25
2.9  集成开发环境\t25
2.9.1  有哪些选择\t25
2.9.2  运行于Ubuntu Linux上的Python\t30
2.10?移动设备上的Python\t32
2.10.1  iOS中的Python应用\t32
2.10.2  Windows 8 Phone\t34
2.11  虚拟机\t35
2.12  章节回顾\t35
2.13  问题小结\t35
2.14  接下来讲什么\t36
2.15  补充资料\t36
第3章  个Python取证应用程序\t37
3.1  本章简介\t37
3.2  命名惯例和其他考虑\t37
3.2.1  常量\t38
3.2.2  本地变量名\t38
3.2.3  全局变量名\t38
3.2.4  函数名\t38
3.2.5  对象名\t38
3.2.6  模块\t38
3.2.7  类名\t38
3.3  个应用程序“单向文件系统哈希”\t38
3.3.1  背景\t39
3.3.2  基本需求\t40
3.3.3  设计中的考虑\t41
3.3.4  程序结构\t42
3.4  代码遍历\t44
3.4.1  检查Main-代码遍历\t44
3.4.2  ParseCommandLine(?)\t46
3.4.3  ValidatingDirectoryWritable\t48
3.4.4  WalkPath\t49
3.4.5  HashFile\t50
3.4.6  CSVWriter\t53
3.4.7  pfish.py完整代码清单\t53
3.4.8  _pfish.py完整代码清单\t54
3.5  结果展示\t61
3.6  章节回顾\t65
3.7  问题小结\t65
3.8  接下来讲什么\t66
3.9  补充资料\t66
第4章  使用Python进行取证搜索和索引\t67
4.1  本章简介\t67
4.2  关键字上下文搜索\t68
4.2.1  如何用Python轻松完成\t69
4.2.2  基本需求\t70
4.2.3  设计考虑\t71
4.3  代码遍历\t73
4.3.1  分析Main――代码遍历\t73
4.3.2  分析_p-search函数――代码遍历\t74
4.3.3  分析ParseCommandLine \t74
4.3.4  分析ValidateFileRead(theFile)\t76
4.3.5  分析SearchWords函数\t76
4.4  结果展示\t80
4.5  索引\t83
4.6  编写isWordProbable\t84
4.7  p-search完整代码清单\t86
4.7.1  p-search.py\t86
4.7.2  _p-search.py\t87
4.8  章节回顾\t93
4.9  问题小结\t93
4.10?补充资料\t93
第5章  证据提取（JPEG和TIFF）\t94
5.1  本章简介\t94
5.2  Python图像库（PIL）\t95
5.3  代码遍历\t105
5.3.1  Main程序\t105
5.3.2  logging类\t105
5.3.3  cvs处理器\t105
5.3.4  命令行解析器\t106
5.3.5  EXIF和GPS处理器\t106
5.3.6  检查代码\t106
5.3.7  完整代码清单\t114
5.3.8  程序的执行\t121
5.4  章节回顾\t123
5.5  问题小结\t124
5.6  补充资料\t124
第6章  时间取证\t125
6.1  本章简介\t125
6.2  给这个环节添加时间\t126
6.3  时间模块\t127
6.4  网络时间协议\t132
6.5  获得和安装ntp库ntplib\t132
6.6  全世界的NTP服务器\t134
6.7  NTP客户端创建脚本\t135
6.8  章节回顾\t137
6.9  问题小结\t137
6.10?补充资料\t137
第7章  在电子取证中使用自然语言工具\t138
7.1  什么是自然语言处理\t138
7.1.1  基于对话的系统\t138
7.1.2  语料库\t139
7.2  安装自然语言工具包和相关的库\t139
7.3  使用语料库\t140
7.4  用NLTK进行实验\t140
7.5  从因特网上创建语料库\t145
7.6  NLTKQuery应用程序\t146
7.6.1  NLTKQuery.py\t146
7.6.2  _classNLTKQuery.py\t148
7.6.3  _NLTKQuery.py\t150
7.6.4  NLTKQuery例子的执行\t150
7.6.5  NLTK跟踪执行\t151
7.7  章节回顾\t153
7.8  问题小结\t153
7.9  补充资料\t153
第8章  网络取证：部分\t154
8.1  网络调查基础\t154
8.1.1  什么是套接字\t154
8.1.2  最简单使用套接字的网络客户端和服务器连接\t156
8.1.3  server.py的代码\t156
8.1.4  client.py的代码\t157
8.1.5  server.py和client.py程序的执行\t158
8.2  队长雷缪斯：再次核实我们到目标的射程…仅需一个PING\t158
8.2.1  wxPython\t159
8.2.2  ping.py\t159
8.2.3  guiPing.py的代码\t164
8.2.4  ping扫描的执行\t168
8.3  端口扫描\t169
8.3.1  公认端口的例子\t169
8.3.2  注册端口的例子\t170
8.4  章节回顾\t176
8.5  问题小结\t176
8.6  补充资料\t177
第9章  网络取证：第2部分\t178
9.1  本章简介\t178
9.2  数据包嗅探\t178
9.3  Python中的原始套接字\t180
9.3.1  什么是混杂模式或监控模式\t180
9.3.2  Linux下Python中的原始套接字\t181
9.3.3  对缓冲区进行解包\t182
9.4  Python隐蔽式网络映射工具（PSNMT）\t185
9.5  PSNMT源代码\t187
9.5.1  psnmt.py源代码\t188
9.5.2  decoder.py源代码\t190
9.5.3  commandParser.py源代码\t192
9.5.4  classLogging.py源代码\t193
9.5.5  csvHandler.py源代码\t194
9.6  程序的执行和输出\t195
9.6.1  取证日志\t196
9.6.2  CSV文件输出实例\t197
9.7  章节回顾\t198
9.8  问题小结\t198
9.9  补充资料\t198
0章  多进程的取证应用\t199
10.1 本章简介\t199
10.2 何谓多进程\t199
10.3 Python多进程支持\t199
10.4 最简单的多进程例子\t202
10.4.1  单核的文件搜索方案\t202
10.4.2  多进程的文件搜索方法\t203
10.5?多进程文件哈希\t204
10.5.1  单核方案\t204
10.5.2  多核方案 A\t205
10.5.3  多核方案 B\t208
10.6 多进程哈希表生成\t210
10.6.1  单核口令生成器代码\t210
10.6.2  多核口令生成器\t213
10.6.3  多核口令生成器代码\t213
10.7 章节回顾\t216
10.8 问题小结\t217
10.9 补充资料\t217
1章  云中的彩虹表\t218
11.1 本章简介\t218
11.2 在云端工作\t218
11.3 云端服务的可选资源\t220
11.4 在云端创建彩虹表\t222
11.4.1  单核彩虹表\t222
11.4.2  多核彩虹表\t224
11.5 口令生成计算\t226
11.6 章节回顾\t228
11.7 问题小结\t228
11.8 补充资料\t229
2章  展望\t230
12.1 本章简介\t230
12.2 由此我们将走向何方\t232
12.3 结束语\t235
12.4 补充资料\t235