网页数据取证

2019年，网页某地方法院审理一起网络诽谤案。数据被告辩称涉案帖文系“黑客入侵”所致，取证但取证人员在其笔记本电脑的网页浏览器缓存里，找到了一条被删除的数据草稿记录。时间戳显示，取证这条草稿的网页创建时间比“黑客入侵”的声称时间早了整整四十分钟。被告当庭沉默。数据这就是取证网页数据取证——它不像影视剧里那样炫酷地敲几行代码就能黑进系统，更多时候，网页是数据在和“删除”“覆盖”“伪装”这些日常动作较劲。

网页数据取证的取证核心，是网页回答三个问题：页面里有什么？谁写的？什么时候写的？第一个问题相对简单，抓取HTML源码、数据截图、取证保存DOM树即可。但后两个问题才是真正的战场。浏览器历史记录、Cookie、Flash本地存储（如今已少见）、IndexedDB、甚至浏览器自带的密码管理器，都可能留下痕迹。我见过一个案例，取证人员从Chrome的“上次未关闭页面”恢复功能里，捞出了嫌疑人以为早已清空的聊天记录——那只是因为他点了“关闭所有窗口”而非“清除浏览数据”。

更隐蔽的线索藏在网络层。HTTP请求头里的User-Agent字段，会暴露操作系统和浏览器版本；Referer字段能显示用户从哪个页面跳转而来；DNS缓存则记录着最近解析过的域名。有一次，我们追踪一个发布虚假灾情信息的账号，对方用了VPN和Tor，IP完全无法定位。但取证人员在受害者路由器日志里，发现一条针对某境外域名服务器的DNS查询记录，时间与发帖时间精确到秒。顺着那个域名，找到了一个未加密的备份文件——里面存着所有帖文的修改历史。

取证工具也在进化。传统做法是保存网页为MHTML或PDF，但动态网页（比如无限滚动的社交媒体）需要无头浏览器模拟真实用户行为，逐帧记录加载过程。Wget和cURL已经不够用了，现在流行的是用Playwright或Puppeteer写脚本，自动翻页、点击“加载更多”、甚至模拟鼠标悬停来触发隐藏内容。但工具再先进，也怕猪队友——很多网站的前端代码写得像迷宫，某些关键数据不是明文写在HTML里，而是通过JavaScript异步请求从API拉取的。这时候，你得同时抓包分析XHR响应，否则存下来的页面就是个空壳。

有一类案例最考验耐心：网页内容被人为篡改后，原始版本已从服务器删除。但搜索引擎的快照、互联网档案馆（Wayback Machine）的备份、甚至CDN节点上的缓存，都可能残留旧版本。我处理过一起合同纠纷，一方声称官网上的价格条款是“临时工误传”，但我们在Google缓存里找到了三个月前的页面，价格数字和现在完全一致——那个“临时工”的误传，恰好持续了九十二天。

取证报告的书写同样重要。你得把每一步操作记录成可复现的流程，包括命令行参数、校验和值、截图时的系统时间。法官不是技术人员，但陪审团里总有个较真的退休工程师。证据链必须闭合：从原始数据到分析结论，中间不能有“我觉得”或者“大概率”。有一次，我因为忘了记录一条grep命令的精确选项，导致整个分析过程被对方律师质疑为“不可靠”，最后只能重新跑一遍全套流程。

说到底，网页数据取证是场心理战。攻击者以为删掉文件、清空历史、用了无痕模式就万事大吉，却忘了浏览器插件（比如广告拦截器）的日志、系统还原点、甚至输入法自带的词频记录，都可能出卖他们。而取证人员要做的，不是追求什么“终极解决方案”，而是比对手多想一步——在“删除”和“恢复”的拉锯战中，找到那个被忽略的、沾着泥土的脚印。