命令与输出留痕
分析会话用录制工具留存原始命令与输出，报告里的每条命令引用都能回到会话记录，复核成本会显著降低。Linux 上用 script 录制终端会话，Windows 上用 Start-Transcript 记录 PowerShell 会话，两者都会把命令、输出与部分时间信息一并写入文件，是分析过程可追溯的主要手段。
基本信息
| Linux | script 录制终端会话，-a 可追加写入同一文件 |
|---|---|
| Windows | Start-Transcript 记录 PowerShell 会话，需显式停止 |
| 记录内容 | 命令文本、标准输出与错误输出、部分时间信息 |
| 命名习惯 | 每个分析任务单独一个会话文件，文件名含日期与任务标识 |
| 密级要求 | 会话文件含敏感数据时按证据密级管理并做必要脱敏 |
典型使用场景
- 报告中引用的每条命令都能回溯到原始会话记录
- 多人协作分析时交接彼此的操作过程
- 复核他人结论时确认命令与输出是否一致
- 排查工具输出差异时对照实际执行的参数
- 过程留痕，为后续质询与复盘提供依据
两侧录制
两侧录制
script -a session-$(date -u +%Y%m%dT%H%M%SZ).log # Linux：开始录制当前会话
exit # 结束时正常退出，避免记录被截断
# Windows（PowerShell）
# Start-Transcript -Path C:\work\transcript-20260102.txt
# Stop-Transcript # 结束时停止录制
ls -l --time-style=long-iso /case/*/sessions/ # 会话文件清单与时间两平台对照
| 平台 | 工具 | 注意点 |
|---|---|---|
| Linux | script 录制终端 | 结束时正常退出，异常中断会截断记录 |
| Windows | Start-Transcript 录制会话 | 需显式停止，否则记录不完整 |
| 共同要求 | 文件名含时间与任务标识 | 多段录制按顺序编号，便于回指 |
会话录制文件要单独存放并纳入证据清单：报告里引用的命令、输出与文件名一一对应，接收方按引用就能找到原始记录，不必依赖口头说明或事后回忆。录制开始前先写下本次会话的用途与参与人，结束后核对文件是否完整结束，避免留下只有开头没有结尾的记录。
会话文件往往包含内部地址、账号、路径与业务数据，应按密级管理：控制访问权限，对外提交前做必要脱敏，并记录每一份副本的交付对象与去向。