MAC地址是网卡的唯一标识符，在取证中非常重要。

开机取证

Windows
对于Windows操作系统，在命令提示符或Powershell中执行以下命令查看计算机的MAC地址：

ipconfig /all

macOS
对于macOS，在终端中输入并执行一下命令即可查看本机MAC地址

ifconfig /a

其中eth0表示以太网卡

Linux
按Ctrl+Alt+T快捷键打开终端，输入并执行以下命令即可查看网卡MAC地址

ifconfig

离线取证

根据SANS Windows Forensics Poster，对于Windows 7/8/8.1/10，注册表以下位置存在网卡信息

SOFTWAREMicrosoftWindows NTCurrentVersionNetworkListSignaturesUnmanaged
SOFTWAREMicrosoftWindows NTCurrentVersionNetworkListSignaturesManaged
SOFTWAREMicrosoftWindows NTCurrentVersionNetworkListNlaCache