論電子證據(jù)材料的收集方法譚光輝

..論電子證據(jù)材料的收集方法準(zhǔn)考證號(hào)010413662004譚光輝【摘要】電子證據(jù)即是電子數(shù)據(jù)證據(jù)，通常是指借助電子技術(shù)或在使用電子設(shè)備過(guò)程中而形成的一切證據(jù)。作為一種新型的訴訟證據(jù)它還具有高技術(shù)性、無(wú)形性、精確性和易破壞性的特征。本文主要介紹了電子證據(jù)材料的一般和特殊兩類主要的收集方法以及收集過(guò)程中應(yīng)遵守的原則問(wèn)題并提出了電子證據(jù)取證過(guò)程中可能面臨的困難?！娟P(guān)鍵詞】電子證據(jù)特征收集方法引言隨著信息時(shí)代的來(lái)臨，高速發(fā)展的電子技術(shù)已經(jīng)應(yīng)用到社會(huì)的各個(gè)領(lǐng)域并帶來(lái)了巨大的變革，日新月異的各類諸如手機(jī)、互聯(lián)網(wǎng)、計(jì)算機(jī)等電子產(chǎn)品再為人們生活帶來(lái)諸多便利時(shí)，也不可避免的滋生了以特別以計(jì)算機(jī)、網(wǎng)絡(luò)為基礎(chǔ)的網(wǎng)絡(luò)犯罪問(wèn)題。一方面，網(wǎng)絡(luò)犯罪愈演愈烈，給人們的生活和社會(huì)的穩(wěn)定帶來(lái)巨大傷害，同時(shí)，由于對(duì)網(wǎng)絡(luò)犯罪本省的認(rèn)識(shí)不足，又由于網(wǎng)絡(luò)犯罪本身的高科技性、虛擬性等特點(diǎn)，往往會(huì)因?yàn)殡娮幼C據(jù)的缺乏而對(duì)網(wǎng)絡(luò)犯罪行為的追訴不了了之?，F(xiàn)階段無(wú)論是國(guó)家機(jī)構(gòu)、私營(yíng)企業(yè)還是個(gè)人都會(huì)借助于各類電子設(shè)備處理大小事務(wù)，其中電子證據(jù)就是其在法律領(lǐng)域中出現(xiàn)的新事物。針對(duì)電子證據(jù)這一新事物,國(guó)外理論研究和立法都走在前沿,我國(guó)還處于初級(jí)探究階段。而在對(duì)網(wǎng)絡(luò)犯罪行為的立案、審查和追訴過(guò)程中，對(duì)于電子證據(jù)材料的手機(jī)都顯得尤為重要。一、電子證據(jù)的形成和發(fā)展（一）電子證據(jù)的概念電子證據(jù)是現(xiàn)代信息、技術(shù)下的產(chǎn)物,其作為一種新的證據(jù)形式,世界各國(guó)對(duì)此存在著各種各樣的表述。例如英語(yǔ)表述中就有：“ComputerEvidence”(計(jì)算機(jī)證據(jù)）、“DigitalEvidence”(數(shù)字證據(jù))、、“Computer一basedEvidence”(以計(jì)算機(jī)為基礎(chǔ)的證據(jù))、“Computer一relatedEvidence”(與計(jì)算機(jī)有關(guān)的證據(jù))等；而中文表述中也有不同的稱謂：除了常見(jiàn)的“電子證據(jù)”之外,還有“計(jì)算機(jī)證據(jù)”、“網(wǎng)絡(luò)證據(jù)”、“電子數(shù)據(jù)證據(jù)”、“網(wǎng)上證據(jù)”等等。對(duì)電子證據(jù)的概念表述，也有多種不同的表述形式，如西南政法大學(xué)的劉江春先生在《電子證據(jù)研究》一文中，將電子證據(jù)的概念表述為：“電子證據(jù)也稱計(jì)算機(jī)證據(jù)，是指在計(jì)算機(jī)或計(jì)算機(jī)運(yùn)行過(guò)程中產(chǎn)生的以其記錄的內(nèi)容來(lái)證明案件事實(shí)的電磁記錄?！?湖南師范大學(xué)的成鳳明先生將電子證據(jù)的概念表述為：“所謂電子證據(jù)，就是指儲(chǔ)存在計(jì)算機(jī)或因?yàn)橛?jì)算機(jī)系統(tǒng)運(yùn)行而產(chǎn)生的，以數(shù)據(jù)電文的形式表現(xiàn)出來(lái)的用以證明案件事實(shí)的一切材料?！?上述學(xué)者對(duì)網(wǎng)絡(luò)證據(jù)的認(rèn)識(shí)有一定的共通之處，即電子證據(jù)的產(chǎn)生、儲(chǔ)存盒傳輸都離不開信息技術(shù)、計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)技術(shù)的支撐和電子設(shè)備的使用。因此，電子證據(jù)可以被界定為：電子證據(jù)是以電子形式存在的、用作證據(jù)使用的一切材料及其派生物；或者說(shuō)，借助電子技術(shù)或電子設(shè)備而形成的一切證據(jù)。3根據(jù)電子證據(jù)的發(fā)展歷程，可以把它大致分為三個(gè)階段：一是電子通訊設(shè)備中的電子證據(jù)材料，如傳統(tǒng)的電報(bào)、電話和傳真等；二是封閉計(jì)算機(jī)系統(tǒng)中的電子證據(jù)，如單位內(nèi)部局域網(wǎng)中的數(shù)據(jù)庫(kù)和電子文件的交換儲(chǔ)存以及傳統(tǒng)電子數(shù)據(jù)交換等；三是開放計(jì)算機(jī)系統(tǒng)中的電子數(shù)據(jù)，主要是因特網(wǎng)中的電子數(shù)據(jù)交換、電子郵件往來(lái)和電子聊天記錄等。（二）電子證據(jù)的特征從證據(jù)學(xué)角度出發(fā)，電子證據(jù)也是證據(jù)，和物證、書證等傳統(tǒng)證據(jù)一樣具有證據(jù)的一般特點(diǎn)，即客觀性、關(guān)聯(lián)性、合法性。同時(shí)，電子證據(jù)也具有不同于傳統(tǒng)證據(jù)的特點(diǎn)。主要有:高技術(shù)性、無(wú)形性、精確性、易破壞性。1.高技術(shù)性。電子證據(jù)的產(chǎn)生、傳輸和儲(chǔ)存必須依托于高科技的電子設(shè)備，正是由于高科技，不僅電子證據(jù)的正確儲(chǔ)存和傳輸需要借助于這些現(xiàn)代高科技發(fā)展的產(chǎn)物，而且有些時(shí)候在對(duì)電子證據(jù)進(jìn)行收集整理和審查判斷時(shí)，也有時(shí)需要借助于高科技或者尖端手段2.無(wú)形性。電子證據(jù)的無(wú)形性首先表現(xiàn)在內(nèi)容的內(nèi)在實(shí)質(zhì)上的無(wú)形性，本質(zhì)上來(lái)說(shuō)：電子證據(jù)是一堆計(jì)算機(jī)按編碼規(guī)則處理成“0”和“1”的代碼序列。其產(chǎn)生、儲(chǔ)存和重現(xiàn)都得依賴于計(jì)算機(jī)硬盤、光盤等特定的電子介質(zhì)，也不能像文字符號(hào)那樣讓人直接識(shí)別,這些代碼或符號(hào)必須經(jīng)過(guò)數(shù)字化的過(guò)程，轉(zhuǎn)換成傳統(tǒng)的文字符號(hào)以后才能對(duì)案件事實(shí)發(fā)揮證明作用。它不僅可體現(xiàn)為文本形式，還可以圖形、圖像、動(dòng)畫、音頻及視頻等多媒體形式出現(xiàn)。與傳統(tǒng)證據(jù)相比，這些特征雖然使得電子證據(jù)不能直接以肉眼觀察，但卻豐富了其表現(xiàn)形式。3.精確性。電子證據(jù)伴隨著電子設(shè)備的使用而產(chǎn)生，如果排除外界人為因素的惡意干擾和差錯(cuò)影響，它很少受主觀因素的影響，能夠?qū)崟r(shí)可靠的反映事實(shí)真相,具有較高的精確性。正是以計(jì)算機(jī)這種高技術(shù)為依托，電子證據(jù)是所有證據(jù)中最具證明力的一種，一般情況下，其一經(jīng)形成就會(huì)始終保持最初的原始狀態(tài)，并能長(zhǎng)期保存，隨時(shí)復(fù)制，隨時(shí)重現(xiàn)并能反復(fù)使用。4.易破壞性。電子證據(jù)需要借助特殊的存儲(chǔ)介質(zhì)來(lái)承載,如芯片、軟盤、硬盤、光盤等，同時(shí)電子證據(jù)是計(jì)算機(jī)信息用二進(jìn)制數(shù)據(jù)表示并以數(shù)字信號(hào)的方式存在的。一般來(lái)說(shuō)，電子證據(jù)遭到破壞主要是由于兩個(gè)方面的原因：一方面是人為因素，由于計(jì)算機(jī)信息數(shù)據(jù)是非連續(xù)的，人為地故意對(duì)數(shù)據(jù)進(jìn)行刪減、修改或者間接處理，都無(wú)法從技術(shù)方面查清；另一方面就是計(jì)算機(jī)操作人員的差錯(cuò)或供電系統(tǒng)、通信網(wǎng)絡(luò)的故障、網(wǎng)絡(luò)感染病毒等，以及其他技術(shù)方面的原因都會(huì)使電子證據(jù)遭到一定程度的變更或損壞。二、電子證據(jù)的收集同其他傳統(tǒng)證據(jù)種類一樣,電子證據(jù)同樣是查清案件事實(shí)的前提和基礎(chǔ)。但由于電子證據(jù)具有不同于傳統(tǒng)證據(jù)的特性，故電子證據(jù)的收集也不同于傳統(tǒng)證據(jù)的收集。主要體現(xiàn)在收集主體和收集方法有所不同。（一）電子證據(jù)的收集主體一般認(rèn)為民事訴訟中的證據(jù)收集主體有三類:案件當(dāng)事人、專業(yè)技術(shù)人員和人民法院;4。也有學(xué)者將電子證據(jù)收集主體分為三類:電子技術(shù)專家、網(wǎng)絡(luò)警察和一般人員,其中一般人員又包括當(dāng)事人、網(wǎng)絡(luò)管理員等;5筆者以為，電子證據(jù)的收集主體應(yīng)該有以下幾種：一是訴訟各方當(dāng)事人。由于訴訟各方當(dāng)事人詳細(xì)知曉案件的相關(guān)事實(shí)，直接接觸和處理相關(guān)證據(jù)，由當(dāng)事人收集相關(guān)的電子證據(jù)在內(nèi)容上更直接、全面，在時(shí)間上更為及時(shí)。根據(jù)《民事訴訟法》第50條和第61條的規(guī)定,當(dāng)事人及其代理律師和其他訴訟代理人有權(quán)收集證據(jù);《刑事訴訟法》第37條,《行政訴訟法》第30條,《律師法》第30條更進(jìn)一步明確了律師作為收集證據(jù)的主體。二是電子技術(shù)專家。電子技術(shù)專家指的是對(duì)電子技術(shù)尤其是對(duì)計(jì)算機(jī)、網(wǎng)絡(luò)等知識(shí)有專攻的人員。由于電子證據(jù)自身的固有特點(diǎn)，一般當(dāng)事人很難專業(yè)的提取、固定電子證據(jù)，特別是在對(duì)于某些已有部分損壞的電腦或其他電子設(shè)備上提取數(shù)據(jù)信息，往往某些非專業(yè)性的操作可能影響電子證據(jù)的收集或者削弱電子證據(jù)的證明力，甚至?xí)闺娮幼C據(jù)喪失證據(jù)資格。因而，在電子證據(jù)的收集取證工作中，電子技術(shù)專家是必不可少的。三是偵查人員或?qū)ｉT調(diào)查人員。根據(jù)《刑事訴訟法》第43條和第45條規(guī)定,公安機(jī)關(guān)、人民檢察院及其工作人員都有權(quán)收集證據(jù),是收集證據(jù)的主體。根據(jù)《行政訴訟法》第33條規(guī)定,在有限制條件的情況下,行政機(jī)關(guān)有權(quán)收集證據(jù);并且對(duì)行政案件的查處,政府有關(guān)執(zhí)法部門及其工作人員也有權(quán)收集證據(jù)。包括刑事案件偵查人員、人民法院指派的調(diào)查人員及行政訴訟案件中的行政管理人員。他們共同的特點(diǎn)是依托國(guó)家賦予的職權(quán)開展證據(jù)收集工作，目的在于有效打擊違法犯罪行為和查處當(dāng)事人的糾紛事實(shí)，如“網(wǎng)絡(luò)警察”也應(yīng)屬于此類。四是網(wǎng)絡(luò)服務(wù)商（InternetServiceProvider，ISP）。網(wǎng)絡(luò)服務(wù)商是指提供通路以使使用者與因特網(wǎng)連線的中介服務(wù)的提供者。之所以將網(wǎng)絡(luò)服務(wù)商也列入收集電子證據(jù)的一類主體，這是因?yàn)閺奈覈?guó)現(xiàn)行關(guān)于電子證據(jù)調(diào)查取證的法律法規(guī)以及司法解釋中，已有強(qiáng)制網(wǎng)絡(luò)服務(wù)提供者提供記錄和保存信息的規(guī)定。如我國(guó)《刑事訴訟法》第45條規(guī)定：“人民法院、人民檢察院和公安機(jī)關(guān)有權(quán)向有關(guān)單位和個(gè)人收集、調(diào)取證據(jù)。有關(guān)單位和個(gè)人應(yīng)當(dāng)如實(shí)提供證據(jù)?！眹?guó)務(wù)院頒布的《互聯(lián)網(wǎng)信息服務(wù)管理辦法》第14條也規(guī)定：“從事新聞、出版以及電子公告等服務(wù)項(xiàng)目的互聯(lián)網(wǎng)信息服務(wù)提供者，應(yīng)當(dāng)記錄提供的信息內(nèi)容及其發(fā)布時(shí)間、互聯(lián)網(wǎng)地址或者域名；互聯(lián)網(wǎng)接入服務(wù)提供者應(yīng)當(dāng)記錄上網(wǎng)用戶的上網(wǎng)時(shí)間、用戶帳號(hào)、互聯(lián)網(wǎng)地址或者域名、主叫電話號(hào)碼等信息?；ヂ?lián)網(wǎng)信息服務(wù)提供者和互聯(lián)網(wǎng)接入服務(wù)提供者的記錄備份應(yīng)當(dāng)保存６０日，并在國(guó)家有關(guān)機(jī)關(guān)依法查詢時(shí)，予以提供。”（二）電子證據(jù)的收集方法開展電子證據(jù)的收集取證工作，有賴于收集方式和方法的合理選擇。1.電子證據(jù)的一般收集方法。一般取證，是指電子證據(jù)在未經(jīng)偽飾、修改、破壞等情形下進(jìn)行的取證。主要的方式有：（1）打印。對(duì)網(wǎng)絡(luò)犯罪案件在文字內(nèi)容上有證明意義的情況下，可以直接將有關(guān)內(nèi)容打印在紙張上的方式進(jìn)行取證。打印后，可以按照提取書證的方法予以保管、固定，并注明打印的時(shí)間、數(shù)據(jù)信息在計(jì)算機(jī)中的位置（如存放于那個(gè)文件夾中等），取證人員

等。如果是普通操作人員進(jìn)行的打印，應(yīng)當(dāng)采取措施監(jiān)督打印過(guò)程，防止操作人員實(shí)施修改、刪除等行為。（2）拷貝。是將計(jì)算機(jī)文件拷貝到軟盤、活動(dòng)硬盤或光盤等取證人員所提供的存儲(chǔ)介質(zhì)中的一種方法?？截惖哪康木褪欠乐瓜嚓P(guān)信息被刪改。首先，取證人員應(yīng)當(dāng)檢驗(yàn)所準(zhǔn)備的軟盤、活動(dòng)硬盤或光盤，確認(rèn)沒(méi)有病毒感染?？截愔?，應(yīng)當(dāng)及時(shí)檢查拷貝的質(zhì)量，防止因保存方式不當(dāng)?shù)仍蚨鴮?dǎo)致的拷貝不成功或感染有病毒等。取證后，注明提取的時(shí)間并封閉取回。（3）拍照、攝像。如果該證據(jù)具有視聽資料的證據(jù)意義，可以采用拍照、攝像的方法進(jìn)行證據(jù)的提取和固定，以便全面、充分地反映證據(jù)的證明作用。同時(shí)對(duì)取證全程進(jìn)行拍照、攝像，還具有增加證明力、防止翻供的作用。（4）制作司法文書。一般包括檢查筆錄和鑒定。檢查筆錄是指對(duì)于取證證據(jù)種類、方式、過(guò)程、內(nèi)容等在取證中的全部情況進(jìn)行的記錄。鑒定是專業(yè)人員就取證中的專門問(wèn)題進(jìn)行的認(rèn)定，也是一種固定證據(jù)的方式。使用司法文書的方式可以通過(guò)權(quán)威部門對(duì)特定事實(shí)的認(rèn)定作為證據(jù)，具有專門性、特定性的特點(diǎn)，具有較高的證明力。主要適用于對(duì)具有網(wǎng)絡(luò)特色的證據(jù)的提取，如數(shù)字簽名、電子商務(wù)等，目前在我國(guó)專門從事這種網(wǎng)絡(luò)業(yè)務(wù)認(rèn)證的中介機(jī)構(gòu)尚不完善，處在建立階段。如1998年，經(jīng)\o"廣東"廣東省人民政府批準(zhǔn)成立了以提供電子認(rèn)證服務(wù)為主營(yíng)業(yè)務(wù)的廣東省電子商務(wù)認(rèn)證中心，到目前為止，該中心已簽發(fā)各類數(shù)字證書超過(guò)6萬(wàn)張，為用戶在Internet網(wǎng)絡(luò)的電子商務(wù)活動(dòng)提供了安全保障。（5）查封、扣押。對(duì)于涉及案件的證據(jù)材料、物件，為了防止有關(guān)當(dāng)事人進(jìn)行損毀、破壞，可以采取查封、扣押的方式，將有關(guān)材料置于司法機(jī)關(guān)保管之下。可以對(duì)通過(guò)上述幾種方式導(dǎo)出的證據(jù)進(jìn)行查封、扣押，也可以對(duì)于一些已經(jīng)加密的證據(jù)進(jìn)行。如在侵犯商業(yè)秘密的案件查辦中，公安機(jī)關(guān)依法查封、扣押了辦公用具及商業(yè)資料，將硬盤從機(jī)箱里拆出，在筆錄上注明“扣押X品牌X型號(hào)硬盤一塊”。由于措施得當(dāng)，證據(jù)提取及時(shí)，既有效地證據(jù)犯罪，也防止了商業(yè)秘密的泄露。對(duì)于已經(jīng)加密的數(shù)據(jù)文件進(jìn)行查封、扣押，往往需要將整個(gè)存儲(chǔ)器從機(jī)器中拆卸出來(lái)并聘請(qǐng)專門人員對(duì)數(shù)據(jù)進(jìn)行還原處理，這種情況下進(jìn)行的查封、扣押措施必須相當(dāng)審慎，以免對(duì)原用戶、或其他合法客戶的正常工作造成侵害，一旦硬件損壞或誤操作導(dǎo)致數(shù)據(jù)不能讀取或數(shù)據(jù)毀壞，其帶來(lái)的損失將是不可估量的。（6）公證。由于電子證據(jù)極易被破壞、一旦被破還又難以恢復(fù)原狀，所以，通過(guò)公證機(jī)構(gòu)將有關(guān)證據(jù)進(jìn)行公證固定是獲取電子證據(jù)的有效途徑之一。2001年3月的新浪網(wǎng)《育兒論壇》被控刊載有損害他人名譽(yù)權(quán)的文章，\o"南京"南京市第三公證處接受申請(qǐng)，對(duì)新浪網(wǎng)頁(yè)上的《育兒論壇》內(nèi)容進(jìn)行了保全證據(jù)公證：對(duì)操作電腦的步驟，包括電腦型號(hào)、打開電腦和進(jìn)入網(wǎng)頁(yè)的程序以及對(duì)電腦中出現(xiàn)的內(nèi)容進(jìn)行復(fù)制等全過(guò)程進(jìn)行了現(xiàn)場(chǎng)監(jiān)督，在現(xiàn)場(chǎng)監(jiān)督和記錄的同時(shí)，對(duì)現(xiàn)場(chǎng)情況進(jìn)行拍照。之后，公證人員出具保全證據(jù)公證書。但是，由于公證具有高成本、低效率的特點(diǎn)，也不能在電子證據(jù)的獲取上片面迷信公證的方式，應(yīng)當(dāng)根據(jù)案件的具體情況，具體決定采取上述哪種方式進(jìn)行取證。2.電子證據(jù)的特殊收集方法電子證據(jù)的特殊收集方法也被稱為復(fù)雜取證，就是指需要專業(yè)技術(shù)人員協(xié)助使用相關(guān)電子技術(shù)進(jìn)行的電子證據(jù)的收集和固定活動(dòng)。多使用于電子證據(jù)不能順利獲取，如被加密或是被人為的刪改、破壞的情況下，如計(jì)算機(jī)病毒、黑客的襲擾等。這種情況下常用的取證方式包括：（1）解密。所需要的證據(jù)已經(jīng)被行為人設(shè)置了密碼，隱藏在文件中時(shí)，就需要對(duì)密碼進(jìn)行解譯。在找到相應(yīng)的密碼文件后，請(qǐng)專業(yè)人員選用相應(yīng)的解除密碼口令軟件。如：用Word軟件制作的密碼文件，選用Word軟件解譯；解密后，將對(duì)案件有價(jià)值的文件，即可進(jìn)行一般取證；在解密的過(guò)程中，必要的話，可以采取錄象的方式。同時(shí)應(yīng)當(dāng)將被解密文件備份，以防止因解密中的操作使文件丟失或因病毒損壞。如：在辦理一起某國(guó)際投資公司的職務(wù)犯罪案件中，偵查人員在搜查辦公室時(shí)發(fā)現(xiàn)，其使用辦公桌的抽屜和文件櫥內(nèi)有11

張微機(jī)軟盤，懷疑盤內(nèi)存有其犯罪的重要證據(jù)，取回后立即送技術(shù)科進(jìn)行檢驗(yàn)，我技術(shù)人員按要求，進(jìn)行了詳細(xì)檢驗(yàn)，無(wú)病毒，并查清了這些軟盤中用Word軟件所制作的文件，并加入了密碼，即針對(duì)所用軟件采用了Advanced

Word

97

Password

Recovery

1.23軟件成功的破譯了其中的密碼，解出了108份文件，從而掌握了其犯罪的重要書證，又?jǐn)U大了辦案線索，使案件深入發(fā)展。（2）恢復(fù)。數(shù)據(jù)恢復(fù)就是把遭受破壞或由硬件缺陷導(dǎo)致不可訪問(wèn)或不可獲得或由于誤操作等各種原因?qū)е聛G失的數(shù)據(jù)還原成正常數(shù)據(jù),即恢復(fù)到它本來(lái)的“面目”。大多數(shù)計(jì)算機(jī)系統(tǒng)都有自動(dòng)生成備份數(shù)據(jù)和恢復(fù)數(shù)據(jù)、剩余數(shù)據(jù)的功能，有些重要的數(shù)據(jù)庫(kù)安全系統(tǒng)還會(huì)為數(shù)據(jù)庫(kù)準(zhǔn)備專門的備份。這些系統(tǒng)一般是由專門的設(shè)備、專門的操作管理組成，一般是較難篡改的。因此，當(dāng)發(fā)生網(wǎng)絡(luò)犯罪，其中有關(guān)證據(jù)已經(jīng)被修改、破壞的，可以通過(guò)對(duì)自動(dòng)備份數(shù)據(jù)和已經(jīng)被處理過(guò)的數(shù)據(jù)證據(jù)進(jìn)行比較、恢復(fù)，獲取定案所需證據(jù)。如1997年7月底，\o"重慶"重慶市某農(nóng)業(yè)大學(xué)學(xué)生處計(jì)算機(jī)辦公網(wǎng)遭到破壞，直接影響到8月份即將開始的招生工作。偵查人員在接到報(bào)案后，及時(shí)進(jìn)行了現(xiàn)場(chǎng)保護(hù)，從網(wǎng)絡(luò)的5號(hào)無(wú)盤站上得到了一個(gè)破壞程序正對(duì)系統(tǒng)進(jìn)行的破壞過(guò)程，這一破壞程序的運(yùn)行痕跡是由于犯罪人疏忽沒(méi)能把自身刪掉而遺留的，偵查人員通過(guò)這個(gè)線索找到了源程序，破獲了全案。

如果數(shù)據(jù)連同備份都被改變或刪除，可以在系統(tǒng)所有者的協(xié)助下，通過(guò)計(jì)算機(jī)系統(tǒng)組織數(shù)據(jù)的鏈指針進(jìn)入小塊磁盤空間，從中發(fā)現(xiàn)數(shù)據(jù)備份或修改后的剩余數(shù)據(jù)，進(jìn)行比較分析，恢復(fù)部分或全部的數(shù)據(jù)。另外，也可以使用一些專門的恢復(fù)性軟件，如Recover98、RecoverNT

EXPD等。（3）測(cè)試。電子證據(jù)內(nèi)容涉及電算化資料的，應(yīng)當(dāng)由司法會(huì)計(jì)專家對(duì)提取的資料進(jìn)行現(xiàn)場(chǎng)驗(yàn)證。驗(yàn)證中如發(fā)現(xiàn)可能與軟件設(shè)計(jì)或軟件使用有關(guān)的問(wèn)題時(shí)，應(yīng)當(dāng)由司法會(huì)計(jì)專家現(xiàn)場(chǎng)對(duì)電算化軟件進(jìn)行數(shù)據(jù)測(cè)試（偵查實(shí)驗(yàn)）。主要是使用事先制作的測(cè)試文件，經(jīng)測(cè)試確認(rèn)軟件有問(wèn)題時(shí)，則由計(jì)算機(jī)專家對(duì)軟件進(jìn)行檢查或提取固定。當(dāng)然,隨著科學(xué)技術(shù)的發(fā)展與對(duì)電子取證技術(shù)的深入研究,電子證據(jù)收集的方法將不斷增多。三、電子證據(jù)收集的原則為了使收集到的網(wǎng)絡(luò)證據(jù)具有可采性，尤其要注意網(wǎng)絡(luò)證據(jù)收集的合法性，這需要對(duì)收集的程序進(jìn)行相應(yīng)的規(guī)制。（一）及時(shí)性原則作為能夠反應(yīng)案件的真實(shí)情況的證據(jù)材料都是犯罪分子作案后留下的痕跡,但隨著時(shí)間的推移,這種痕跡會(huì)越來(lái)越淺,還可能因?yàn)槿藶橐蛩氐钠茐幕蜃匀辉蚨?無(wú)法恢復(fù),從而嚴(yán)重阻礙案件的偵破。所以當(dāng)獲取網(wǎng)絡(luò)犯罪的相關(guān)情報(bào)時(shí)，偵查部門應(yīng)盡快趕赴相關(guān)地點(diǎn)，及時(shí)采取保護(hù)措施，并立即著手對(duì)現(xiàn)場(chǎng)進(jìn)行處置。一旦錯(cuò)過(guò)時(shí)機(jī)，證據(jù)可能就不復(fù)存在。（二）合法性原則主要是指在搜查、扣押過(guò)程中的程序合法，具體內(nèi)容有：一是開展搜查工作前必須申請(qǐng)有效的搜查證件以及搜查工作開展必須先行出示搜查證件；三是搜查、扣押工作必須在法律授權(quán)的范圍內(nèi)進(jìn)行；四是妥善處理搜查過(guò)程中收集調(diào)取的電子證據(jù)；五是對(duì)檔案材料、計(jì)算機(jī)儲(chǔ)存的個(gè)人材料，不得非法公開或擴(kuò)大知曉范圍；六是要對(duì)搜查、扣押工作的全過(guò)程進(jìn)行詳細(xì)記錄。（三）全面性原則在搜查、扣押有關(guān)電子證據(jù)時(shí)必須保證證據(jù)的連續(xù)性和對(duì)電子證據(jù)的收集要特別注意擴(kuò)大收集的范圍,從各種細(xì)枝末節(jié)中尋找犯罪蹤跡。對(duì)電子證據(jù)的收集必須突破一般證據(jù)的收集模式,特別注重?zé)o形證據(jù)的取證,如保存系統(tǒng)軟件環(huán)境等。有時(shí)并不能立即發(fā)現(xiàn)所有的證據(jù)信息,因此有必要把相關(guān)的設(shè)備都固定起來(lái),再行通過(guò)技術(shù)手段分析、尋找線索。（四）專業(yè)性原則即專業(yè)人士取證原則和利用專門技術(shù)工具取證原則。要求收集電子證據(jù)的人員必須熟悉和掌握相應(yīng)的計(jì)算機(jī)、網(wǎng)絡(luò)專業(yè)知識(shí)和專門技能。并且為了保證電子證據(jù)的證明力，在收集電子證據(jù)時(shí)應(yīng)使用專門的技術(shù)和工具，而這種技術(shù)與工具，往往是與最新的科技發(fā)展緊密聯(lián)系的。四、收集網(wǎng)絡(luò)證據(jù)面臨的困難網(wǎng)絡(luò)證據(jù)與傳統(tǒng)證據(jù)相比有很大的差異。因此在這類新證據(jù)的收集過(guò)程中便出現(xiàn)了傳統(tǒng)證據(jù)收集所沒(méi)有遇到的困難。（一）數(shù)據(jù)甄選困難在涉及網(wǎng)絡(luò)證據(jù)的案件中，其犯罪事實(shí)主要表現(xiàn)為電子數(shù)據(jù)形式的各類計(jì)算機(jī)和網(wǎng)絡(luò)的信息，無(wú)論是以計(jì)算機(jī)信息系統(tǒng)為犯罪對(duì)象,還是以計(jì)算機(jī)信息系統(tǒng)為犯罪工具，。比如說(shuō)私自變動(dòng)用戶授權(quán)、私自對(duì)應(yīng)用系統(tǒng)或數(shù)據(jù)庫(kù)數(shù)據(jù)的增刪改、利用電子郵件散播病毒等犯罪行為所產(chǎn)生、變動(dòng)的包含案件事實(shí)信息的數(shù)據(jù),都存儲(chǔ)在計(jì)算機(jī)應(yīng)用系