一、 硬件是计算机系统快速、高效、可靠运行的基础。
构成：运算器、存储器（取证的主要对象）、控制器和I/O控制系统等部件组成。

二、 内存（Memory）

1. 也称内存存储器，ROM\RAM。是cpu、显卡或者其他内存板卡可以直接寻址的存储空间。结构：
   
2. 特点：存取速度快。
3. 作用：加速数据和cpu的交换。
4. 内存主要用于暂时保存程序和数据，并与外部存储器交换数据。
5. 形象举例：内存是京东，硬盘是淘宝，
   
6. 内存无法直接看到a,b,c这样的字符或jpg图片，只有0和1两个数字，计算机也只认识二进制的0和1.
7. 病毒静态时存储于磁盘中，激活时驻留与内存中
   因此计算机病毒检测分为对内存的检测和对磁盘的检测。
8. 内存取证
   内存中有大量结构化和非结构化的数据，通过物理内存镜像可提取有价值数据。
   操作系统及各种应用软件均经常需要与物理内存进行数据交换，由于内存空间有限，因此计算机还有可能将内存中的数据缓存于磁盘中。如：pagefile.sys(页交换文件)及hiberfil.sys(休眠文件)
9. 内存取证应用
   破解Bit locker加密
   三、 外存
10. 外部存储设备。主要包括磁存储器（机械硬盘）、电存储器（固态硬盘、U盘、存储卡）和光存储器（光盘）。
11. 磁存储器
    i. 构造：利用金属、玻璃或塑料基体上的磁性材料的两种不同磁化状态记录二进制代码0和1的存储设备
    ii. 原理：工作时，磁层随磁基体高速运转，利用磁头从磁层上读取或写入信息，实现了电信号与磁信号间的相互转换。
    iii. 优点：存储量大、价格低。
    iv. 缺点：存储速度慢、机械结构复杂。
    v. 分类：按载磁基体形状和材质不同分
    a) 机械硬盘（磁盘）
    b) 磁带
    c) 磁鼓
    vi. 机械硬盘是电子数据取证的主要对象
    难点：容量越来越大、固定时间长
    vii. 1973年，IBM公司推出“温彻斯特”结构机械硬盘，第一次使用密封组件将磁盘封装起来，这也是目前机械硬盘的机械结构。
    3. 电存储器
    i. 随着半导体技术不断革新，rom和ram基本被闪存（Flash）存储器取代。
    ii. Flash是一种存储芯片，通过程序可修改数据
    分为NANDN flash和NOR flash
    iii. 优点：取证速度快、时间段。
    缺点：加密、删除难以恢复。
    iv. 闪存存储器现在广泛应用于内存、显卡存、BIOS芯片等内存中，还广泛用于U盘、固态硬盘、播放器、手机等电子设备。
12. 光存储器（光盘）
    优点：廉价的数据备份
    缺点：速度慢、需对应读取设备（驱动器）