電子數據是一種新型證據類型，越來越多的行政案件需要在案發現場對電子數據進行取證。2019年4月1日施行的《市場監督管理行政處罰程序暫行規定》（國家市場監督管理總局令第2號）第二十三條明晰了行政處罰一般程序中的電子數據證據規則。掌握正確的電子取證技巧、科學運用電子證據已成為執法辦案重要和關鍵的一環。
我們摘取孫百昌博士新書的精彩內容
和大家分享電子數據現場取證要點技巧
（更多介紹請戳
「一鍵get」電子數據取證全流程）
8.1 用圖片隱藏涉案文件
案例 4 ：某局接到舉報，稱有一個涉嫌傳銷的層級名單。該局執法人員依據《禁止傳銷條例》第十四條在現場扣押了當事人硬碟等物證。回到單位後，執法人員先按照禁止使用電子數據證據原件的要求，對當事人硬碟做了鏡像，分析鏡像文件並沒有發現裡面有舉報人所稱涉案文件。綜合各種信息情節，高度懷疑當事人隱藏了涉案文件。再對鏡像文件分析後，發現其中有一些圖片文件較大，根據經驗，涉案文件可能隱藏於此，故對較大的圖片文件進行了破解，從中找到了涉嫌傳銷的層級名單。
他們是怎麼做到的呢？下面介紹用圖片隱藏涉案文件及破解方法。
圖片隱藏涉案文件使用起來非常簡單，隱藏效果非常好，執法人員也非常容易掌握破解方法。辦案中，有的涉案文件找不到，就有可能被隱藏起來了。
主要有兩種隱藏模式：在圖片後隱藏和在圖片中隱藏。第一種模式是在圖片文件「後面」隱藏，這種方法也可以使用其他文件作為隱藏載體，但隱藏到圖片中不容易被發現；第二種模式是把信息直接加載在圖片中隱藏（見8.2 節）。
8.1.1 把涉案文件藏到圖片文件「後面」的方法
當事人把涉案文件藏到圖片中，且以後能打開這個文件，這就需要先把需隱藏的文件壓縮，然後再隱藏。
下面演示一下怎樣把名為「通信名單.xls」的文件藏到圖片文件「風景.png」「後面」。
1. 先使用圖8-1 中的壓縮軟體（圖中都是壓縮軟體，可選擇其中之一使用）把「通信名單.xls」壓縮為「通信名單.zip」的壓縮文件。
注意：一定要把待隱藏的文件轉為壓縮文件，否則後面的提取有可能會失敗。
如果需要把多個文件壓縮成一個壓縮文件，例如，把圖 8-2 中的兩個文件壓縮成一個壓縮文件的方法為（多個文件也類似）：按住滑鼠左鍵同時選上「公司文件.docx」和「通信名單.xls」後，點滑鼠右鍵，點選「添加到『文件.zip』（T）」即可完成壓縮，獲得壓縮文件「文件.zip」。
圖8-1 各類壓縮軟體
圖8-2 壓縮兩個文件為一個文件的方法
2. 準備一個名為「風景.png」（也可以是其他名稱，如「兔兔貓.png」）的圖片文件，然後把圖片文件「風景.png」和「通信名單.zip」都放在桌面（圖8-3）。
注意：一定要使用圖片文件，格式最好是「png」，否則後面提取可能會失敗。
圖8-3 把「風景.png」和「通信名單.zip」都放在桌面
3. 按「Win+R」輸入「cmd」調出命令窗口，在命令窗口逐次輸入以下兩個命令（圖8-4）：
cd Desktop
copy /B 風景.png+ 通信名單.zip= 風景2.png
前面的風景.png 文件是起隱藏作用的文件，後面的通信名單.zip 文件是被隱藏的文件。其中「png」和「 zip」分別是圖片文件和壓縮文件的擴展名。寫上述兩個命令時注意其中有空格。
圖8-4 在命令窗口輸入兩個命令
按回車鍵，結果見圖8-5。「通信名單.zip」已經藏到圖片文件「後面」了。
一般人只能看到圖片，看不到隱藏的「通信名單.zip」文件。
圖8-5 風景2.png
8.1.2 找出藏到圖片文件「後面」的涉案文件
找出藏到圖片文件「後面」的涉案文件的方法很簡單。把「風景2.png」的擴展名「png」改為「zip」，然後解壓縮即可。改擴展命時會有提示，直接點「是」，見圖8-6、圖8-7。
圖8-6 改擴展名的提示
圖8-7 解壓縮文件
打開解壓縮後的文件夾，即可看到被隱藏的文件（圖8-8）。
圖8-8 打開文件夾可看到被隱藏的文件
8.2 用圖片隱藏涉案信息
8.2.1 把涉案信息藏到圖片中的方法
把涉案信息藏到圖片中就是所謂的「信息隱寫」。用圖片進行信息隱寫是將涉密信息隱藏到正常圖片中。隱寫方法多種多樣，利用圖片隱寫信息僅是其中之一。
圖片隱寫信息需要特定軟體，這樣的軟體非常多。基本原理就是把涉密信息按照該軟體預定的規則重新編碼。因此，用什麼軟體進行的隱寫，也只能由原軟體恢復。
ImageHide 是一款應用廣泛、簡單實用的圖片隱寫信息軟體，可以將密碼、通信錄等簡單信息直接隱藏在圖片中，支持bmp 格式和png 格式文件，不需要安裝即可使用。
ImageHide 使用方法分為3 步：導入圖片、寫入信息、保存。具體演示如下：
1. 導入圖片。打開ImageHide 軟體， 點擊菜單中的第一個圖標Loadimage（打開）導入圖片。作為案例，我們把名為「動物.bmp」的圖片導入ImageHide，見圖8-9。
圖8-9 導入圖片「動物.bmp」
2. 寫入信息。在圖片下方輸入框中輸入需隱寫的內容，如輸入「這裡是機密的信息哦：密碼123456」，然後點擊菜單中的Write Date（寫入，這點很重要，必須點擊此處信息才能寫入圖片中），將這段文字寫入圖中，寫入後軟體下面有已經寫入的提示（「Data writen to Image OK ！」數據已經寫入圖片），見圖8-10。
圖8-10 寫入需要隱藏的信息
3. 保存。點擊Save image（保存）即可保存圖片，點擊Close（關閉）關閉圖片。這時如果用其他軟體打開圖片，僅能看到圖片，看不到隱藏在其中的信息（圖8-11）。
圖8-11 已經被隱入信息的圖片
8.2.2 找出藏到圖片中的涉案信息
辦案中，對懷疑有信息隱寫的圖片，可考慮使用ImageHide 解密。用ImageHide 隱入的信息，必須還用ImageHide 軟體打開圖片，用其他軟體不可以。
方法分為2 步：導入圖片、讀取。
1. 導入圖片。打開ImageHide 軟體，點擊菜單中的第一個圖標Load image（打開）導入圖片。我們把圖 8-11 已經被隱入信息的圖片「動物.bmp」導入ImageHide。
2. 讀取。點擊Read Data（讀取）即可看到被隱入的信息。
今天的小課堂，你學會了嗎？
我們明天的小課堂內容是
「如何恢復涉案電腦中被刪除的文件？」
請持續關注哦！
以上內容節選自《現場取證 電子數據取證技術篇》一書。欲知更多電子數據取證操作實務，請見
製作單位：中國工商出版社 圖書發行部、圖書編輯部