该论文提出了一种名为 C2SR（Cybercrime Scene Reconstruction，网络犯罪现场重建）的框架，用于事后取证分析。传统取证方法通常依赖静态证据（如日志、文件快照），难以全面重构攻击者的行动路径和系统性影响。C2SR 通过追踪系统状态变化（包括文件系统、注册表、内存等）来动态重建攻击场景。核心方法包括：① 基于系统调用的因果跟踪，记录进程与资源之间的依赖关系；② 构建状态依赖图（State Dependency Graph），表示不同时刻系统状态的演变；③ 利用图分析方法自动识别关键攻击步骤和受影响对象。实验在真实恶意软件样本和模拟攻击场景上进行，结果表明 C2SR 能够有效重构攻击流程，定位恶意行为入口点，并减少人工分析工作量。该工作对数字取证、恶意软件分析和事件响应具有参考价值。