4. 音视频证据格式（MP4/AVI/WAV/FLAC）：容器格式与编码格式区别、FFmpeg基础操作、音视频元数据提取、时间戳校准
音视频证据，在电子取证里是个让人又爱又恨的东西。爱的是它信息量大，恨的是它格式复杂。我见过太多同行，拿到一个 .mp4 文件就以为万事大吉，结果播放器打不开，鉴定软件报错，最后发现是编码格式不兼容。
说白了，你看到的那个文件后缀名，只是「容器」。真正决定能不能播放的，是里面的「编码」。今天我们就把这层窗户纸捅破。
4.1 容器格式 vs 编码格式：别再搞混了
我刚开始做取证时，也犯过这个错。一个 .avi 文件，我以为是标准格式，结果导进分析软件直接崩溃。后来才明白，.avi 只是个壳，里面装的可能是 MJPEG、可能是 DivX，甚至可能是未压缩的原始数据。
容器格式，就像是一个快递箱。它负责把视频流、音频流、字幕、元数据打包在一起。而编码格式，是箱子里的货物——视频和音频到底用什么算法压缩的。
| 容器格式 | 常见扩展名 | 可包含的编码 | 取证注意事项 |
|---|---|---|---|
| MP4 | .mp4 | H.264, H.265, AAC, MP3 | 最广泛兼容，但注意 H.265 需要解码器 |
| AVI | .avi | MJPEG, DivX, XviD, 未压缩 | 编码混乱，经常遇到不兼容 |
| WAV | .wav | PCM, ADPCM, IEEE Float | 无损音频，但文件巨大 |
| FLAC | .flac | FLAC (无损压缩) | 压缩比好，取证常用 |
核心原则：永远不要只看扩展名判断格式。用 FFmpeg 或 MediaInfo 先看一眼内部编码，再决定用什么工具处理。
4.2 FFmpeg 基础操作：取证必备瑞士军刀
FFmpeg 这东西，我用了十年。每次遇到格式问题，第一反应就是它。它不挑格式，不挑编码，几乎什么都能读，什么都能转。
安装就不多说了，直接上干货。以下是我在取证工作中最常用的几条命令：
4.2.1 查看文件信息
ffmpeg -i 证据文件.mp4这条命令会输出文件的完整信息。包括容器格式、视频编码、音频编码、比特率、帧率、时长。我一般先跑这条，心里就有底了。
4.2.2 格式转换（最常用）
ffmpeg -i 证据文件.avi -c:v libx264 -c:a aac 输出文件.mp4把 AVI 转成 MP4，视频用 H.264 编码，音频用 AAC。这是最通用的组合，几乎任何播放器都能打开。
4.2.3 提取音频流
ffmpeg -i 证据文件.mp4 -vn -c:a copy 音频证据.wav有时候只需要音频做声纹鉴定。用 -vn 去掉视频，-c:a copy 直接复制音频流，不重新编码，保证原始质量。
4.2.4 截取片段
ffmpeg -i 证据文件.mp4 -ss 00:01:30 -t 00:00:30 -c copy 片段.mp4从 1 分 30 秒开始，截取 30 秒。用 -c copy 直接复制，不重新编码，速度快且无损。
我的习惯：每次转换前，先用 -i 看一眼原始信息。我曾经遇到过一段监控视频，表面是 .mp4，实际编码是 MJPEG，直接转 H.264 会丢失关键帧。先看再转，稳。
4.3 音视频元数据提取：隐藏的信息往往最关键
元数据，就是数据的数据。音视频文件里藏着大量信息：拍摄时间、设备型号、GPS 坐标、编码参数。这些在取证里可能是关键线索。
我处理过一个案子，一段录音文件，表面看是普通对话。但提取元数据后发现，录音设备型号、录音时间、甚至录音时的环境温度都有记录。这些信息直接锁定了嫌疑人。
4.3.1 用 FFmpeg 提取元数据
ffmpeg -i 证据文件.mp4 -f ffmetadata 元数据.txt这条命令会把所有元数据导出成文本文件。打开看看，里面可能有你意想不到的东西。
4.3.2 用 exiftool 提取更详细的信息
exiftool 证据文件.mp4exiftool 比 FFmpeg 更细，能读到 GPS 坐标、拍摄方向、甚至镜头参数。我建议两个工具配合使用。
| 元数据字段 | 含义 | 取证价值 |
|---|---|---|
| Creation Date | 创建时间 | 确定拍摄/录制时间 |
| GPS Position | GPS 坐标 | 定位拍摄地点 |
| Make / Model | 设备制造商/型号 | 锁定设备来源 |
| Duration | 时长 | 验证完整性 |
| Bitrate | 比特率 | 判断压缩质量 |
注意：元数据可以被修改或删除。取证时，如果元数据与案件时间线不符，要警惕是否被篡改。我建议同时校验文件的哈希值，确保原始性。
4.4 时间戳校准：证据链的生命线
时间戳，是音视频证据的灵魂。没有准确的时间，视频画面再清晰也没用。我见过太多案子，因为时间戳偏差，导致证据链断裂。
为什么会偏差？原因很多：设备时间没校准、跨时区、录制过程中断电重启。校准时间戳，是取证中绕不开的一步。
4.4.1 查看原始时间戳
ffmpeg -i 证据文件.mp4 -f ffmetadata -这条命令会输出包含时间戳的元数据。重点关注 creation_time 字段。
4.4.2 手动校准时间戳
如果发现时间偏差，可以用 FFmpeg 的 -timestamp 参数修正：
ffmpeg -i 证据文件.mp4 -metadata creation_time="2024-01-15T14:30:00Z" -c copy 校准后文件.mp4注意，这里只是修改元数据，不改变视频内容。但取证时，必须记录原始时间戳和校准过程，形成完整的证据链。
4.4.3 批量校准脚本
我处理过一批 200 个监控视频，时间全部偏移了 8 小时。写了个小脚本批量处理：
for file in *.mp4; do
ffmpeg -i "$file" -metadata creation_time="$(date -d "$(ffprobe -v error -show_entries format_tags=creation_time "$file" -of default=noprint_wrappers=1:nokey=1) + 8 hours" -u +%Y-%m-%dT%H:%M:%SZ)" -c copy "校准_$file"
done嗯，这个脚本有点复杂。简单说就是：先读出原始时间，加上 8 小时，再写回去。批量处理时，一定要先测试几个文件，确认无误再跑全量。
避坑指南：我曾经一次性校准了 50 个视频，结果发现脚本写错了，时间全部加成了 80 小时。从那以后，我每次批量操作前，都会先拿 3 个文件做测试，确认结果正确再继续。
4.5 知识体系总览
下面这张图，是我自己总结的音视频证据处理流程。从拿到文件开始，到最终输出可用的证据，每一步都不能少。
这张图我贴在工作台旁边好几年了。每次处理音视频证据，就按这个流程走一遍，基本不会出问题。
4.6 实战案例：一段「打不开」的监控视频
去年有个案子，警方送来一段监控视频，说是打不开。我拿到手一看，扩展名是 .mp4，但用播放器打开就报错。
先用 ffmpeg -i 看了一眼，发现容器确实是 MP4，但视频编码是 H.265，音频编码是 Opus。H.265 很多老播放器不支持，Opus 更是少见。
解决方案很简单：转成 H.264 + AAC。
ffmpeg -i 监控视频.mp4 -c:v libx264 -c:a aac 可用视频.mp4转完之后，播放正常。但这里有个坑：H.265 转 H.264 会重新编码，画质会有轻微损失。如果对画质要求极高，可以调高码率：
ffmpeg -i 监控视频.mp4 -c:v libx264 -b:v 10M -c:a aac 高质量视频.mp410M 的码率，基本能保留原始画质。文件会大一些，但取证嘛，质量优先。
我的经验：遇到打不开的视频，别急着转格式。先看编码，再决定方案。有时候只是缺少解码器，装个解码包就能解决。我电脑上常年备着 K-Lite Codec Pack，能解决 90% 的播放问题。
4.7 本章小结
音视频证据处理，说白了就三件事：看懂容器和编码、提取元数据、校准时间戳。FFmpeg 是核心工具，但更重要的是理解背后的原理。
我见过太多人，只会用 GUI 工具点来点去，遇到异常就抓瞎。你想想看，如果连容器和编码都分不清，怎么保证证据的完整性？
嗯，这一章的内容就到这里。记住：先看再转，先测再跑，先记再改。这三条原则，能帮你避开 90% 的坑。