报告附录的证据哈希清单
哈希清单是报告与证据之间的纽带：按证据编号列出文件名、大小与 SHA-256，接收方复核一遍就能确认拿到的是同一份数据。清单通常作为附录出现，既支撑完整性主张，也让报告里的每一次引用都能落到具体文件上。
基本信息
| 清单内容 | 证据编号、文件名、大小、SHA-256、形成时间 |
|---|---|
| 呈现格式 | 表格或制表符分隔文本，便于机器核对 |
| 生成方式 | 对证据目录批量计算摘要并排序输出 |
| 自校验 | 清单文件本身也计算一次摘要，附在签发页脚注 |
| 更新规则 | 证据增补后重新生成整份清单，不做零散追加 |
典型使用场景
- 报告定稿时汇总全部证据的摘要
- 证据交接时与接收方共同核对
- 归档前确认清单与实际文件一一对应
- 复现分析时按清单找回原始文件
- 应对复核要求时快速说明某份证据的身份
生成清单
生成清单
cd /evidence
sha256sum *.dd *.E01 2>/dev/null | sort > appendix-hashes.txt # 批量生成并排序
wc -l appendix-hashes.txt # 行数与证据数量核对
sha256sum appendix-hashes.txt # 清单自身也计算摘要
ls -l --time-style=long-iso *.dd *.E01 | awk '{print $5, $NF}' # 一并登记文件大小清单字段
| 字段 | 含义 | 要求 |
|---|---|---|
| 证据编号 | 报告正文引用的编号 | 与正文完全一致，不另创编号 |
| 文件名 | 证据文件名称 | 保留扩展名，便于识别格式 |
| 大小 | 文件字节数 | 与该行实际文件吻合 |
| SHA-256 | 内容摘要 | 统一大小写风格后记录 |
| 形成时间 | 文件生成或采集时间 | 标注时区 |
清单生成后核对行数与证据数量是否一致：漏行的常见原因是文件名含特殊字符，或扩展名不在通配范围内。核对时以目录实际内容为准，而不是以当初的预期清单为准。
证据增补或替换后必须重新生成整份清单并更新版本。只在末尾追加几行，会让接收方无法判断当前版本对应哪些文件，引用时也容易张冠李戴。