目前，无论是国内还是国外，由于网络传播的特殊性，给查证和取证工作带来很多的困难，所有的网络犯罪案件最终都会遇到一个核心关键点，就是如何取证的问题。从目前的情况来看，网络犯罪的取证还是非常困难的，到目前为止，我国还没有出台任何一部关于网络犯罪取证问题的成文的相关法律法规。而且现在的犯罪分子十分狡猾，网络犯罪手段非常隐蔽且具有多样性，众多的犯罪手段和行为在司法机关立案和定罪时，确实很难成为呈堂证供。
有时抓获嫌疑人，却因为证据不足而不能定罪，留下的是更多的无奈。网络犯罪的取证这条道路是漫长而深远的。
一、国内外研究动态美国是开展电子证据检验和研究工作最早的国家之一。1984年美国FBI实验室和其他法律执行部门开始建立了检查计算机证据的实验室，从那时开始，计算机取证分析日益成为国外各研究机构与公司对计算机网络的重点研究课题。1989年FBI实验室开始了电子证据检验研究，并成立了专门从事电子证据检验的部门（CART）。根据需要，美国在《1999年统一证据规则》、《统一电子交易法》、《统一计算机信息交易法》和《联邦证据规则》中都增加了电子证据的部分内容。欧洲的英国、法国、德国和爱尔兰等国都在本国的刑事诉讼法中增加了电子证据的部分内容。亚洲的一些国家，如新加坡、印度、菲律宾等国家也相继在有关法律中增加了有关电子物证的条款。
计算机取证技术概念于2001年从国外进入国内，1993年，香港警务督察处刑事部成立了电脑调查科，负责计算机犯罪案件的技术援助和电子数据检验工作，包括：数据恢复、互联网取证检验、服务器日志检验、密码破译、手提电话、邮件、存储介质等。目前，国内研究和负责检验数字数据的专门机构是公安部物证鉴定中心。
该中心从1999年开始对电子证据检验技术进行研究，2001年开始开展数字证据检验鉴定工作，它是目前我国包括数字证据检验认定在内的刑事科学技术领域中人员最多、装备最全、综合技术水平最具权威的综合检验鉴定机构。2004年3月18日，北京由有关管理部门及中国网络通信有限公司、新浪公司、搜狐公司等发起，全市IT业共同参与，成立了网络行业协会。该协会成立的一个重要任务之一是将定期开展为计算机犯罪及计算机网络犯罪提供数字证据的认证、鉴别技术的支持和服务。
二、实践中存在的问题网络犯罪证据的概念目前在国际国内均没有达成一致意见，常见的说法有计算机证据、电子证据、数字证据这几种。网络犯罪中电子证据指在网络犯罪行为实施过程中计算机或计算机系统运行时产生的以其记录的内容来证明案件事实的信息数据，人们习惯称为电子证据或是数字证据。它具有不确定性、不易被发现、易消失性、易改动性、采集困难、动态连续性等特点，这些特点在实践中加大了对计算机网络犯罪案件侦破的技术难度，比如，一个明显的网上入侵或攻击，由于数字化本身的记录容易被伪造或被篡改以及受到病毒的破坏等等，使其成为具有法律证明效力的直接证据有极大的难度，同时因为在多数情况下电子证据难以做到当场获取、或由司法机关依照特定程序直接获取，从而影响了其证据的证明力。虚拟空间中法律取证问题成为有效制裁犯罪的一大障碍。
（一）网络犯罪中电子证据特点1．高技术性和无形性电子证据实质上只是一堆按编码规则处理成的二进制信息，具有无形性，一切交由计算机处理的信息都必须转换为二进制的机器语言才能被计算机读懂，即无论使用何种高级语言或输入法向计算机输入信息，都必须经过数字化的过程，它可以存储为电信息、光信息、磁信息等等，其形成具有高科技性，增大证据的保全难度。
2．性质的多重性及提交形式的多样性电子证据在性质上具有多重属性，其是以内容起证明作用的，这符合书证的特点。但从表现形式上看，该“痕迹”是以数据的形式被存储在电脑硬盘中，似乎又是物证。同时电子证据又常常表现为文字、图像、声音或它们的组合，所以又具有视听资料的特点。由此，电子证据具有各种证据所具有的优点，它存储方便，表现丰富，可长期无损保存及随时反复重现。
而刑事诉讼证据的表现形式只能是载有过去事件内容的物质材料。因电子信息本身具有多样性，可以表现为文字、图像、声音多种媒体，还可以是交互式的、可加密编译的。因此电子证据以何种形式何种载体来作为诉讼活动中提交给法庭的形式也具有多样性。如可以以电子文件的形式提供，或以传统物证、书证或视听资料的形式提供，也可以由第三方公证或技术鉴定机构鉴定作为证据提供。
3．与其他证据相比具有易被篡改、破坏性电子证据又是最为脆弱的，最容易受到破坏的一类证据。电子数据或信息是以“比特”的形式存在的，是非连续的。当有人为因素的或技术的障碍介入时，电子证据极容易被篡改、伪造、破坏或毁灭，数据或信息被人为地篡改后，如果没有可对照的副本、影像文件则难以查清、难以判断。非故意的行为主要有误操作、病毒、硬件故障或冲突、软件兼容性引起的数据丢失、系统崩溃、突然断电等等，这些都是危害数据安全、影响数据真实性的原因。所以，电子证据的内容具有更大的不稳定性，稍纵即逝，有时就是一个简单的键盘操作，甚至将电源一拔，证据就灭失了。
4．网络犯罪电子证据存在的必然性在犯罪人使用网络的过程中，不论网络接入服务商如电信和其他服务提供商如电子邮件服务提供商，服务计算机都会自动记录该使用情况并且保存一定期限，如访问时间，访问的数据名称，发送数据的字节大小等。同时由于每台计算机在网络上都具有唯一的物理地址，所以每次网络的使用活动都可以确定留下活动记录的计算机，从而确定在一定时间空间内使用该计算机的犯罪嫌疑人。另外如电子邮件、ＥＤＩ（电子数据交换）等数据电文都会自动保存发件人邮件地址，发送时间，发送数据计算机的ＩＰ地址。
这都是证明犯罪过程事实的有力证据。
5．实时客观性由于数据传输的高速性，电子证据的形成都是实时的，如果不考虑人为篡改、差错和故障影响等因素，电子证据一经形成便始终保持最初、最原始的状态，能够客观真实地反映事物的本来面貌，是所有证据种类中最具证明力的一种。它存储方便，表现丰富，可长期无损保存及随时反复重现，避免物证因环境的不稳定性，而导致书证的损毁和笔误或是证人证言的主观性等问题。
6．网络电子证据的广域性和连续性网络犯罪现场范围一般由犯罪嫌疑人使用网络的大小而决定，小至一间办公室内的局域网，大到遍布全球的互联网。一个网络犯罪行为的实施往往需借助网络中的多台计算机实现，所以证明犯罪事实的证据有可能分别存储于网站上的一台或多台服务器上、不同地域国度的网站上，也可能存储于犯罪行为实施人使用的终端存储器上，甚至是犯罪人的外部移动存储器上，如存储计算机病毒原代码的软盘。同时由于网络犯罪行为和网络数据传输的连续性，所以分散于网络各台计算机中的电子证据往往具有时间上和空间上的连续性，并能相互印证，形成证明犯罪事实的直接证据。
此外电子证据还具有收集迅速，易于保存，占用空间少，传送和运输方便，可以反复重现，作为证据易于使用、审查、核实，便于操作的特点。
（二）网络犯罪取证难问题鉴于以上特点，对于网络犯罪的取证有如下问题：
1．技术上难以证明其唯一性从证据的角度来说，所有的证据都要证明它的唯一性。比如指纹，DNA，作为唯一的证据有定罪的作用。但网络世界中，电子数据证据的数据和信息是电讯号代码形式，存储在计算机各级存储介质（如RAM、磁带、磁盘、光盘）中，这些数据和信息，均为一二进制电磁代码，不可直接读取，是无形物质。要保存下来，必须进行一系列的能量转换，使之固定在各级计算机存储介质等电子化的物质载体里。但是，目前从数字技术来说，所有的数字记录都很难说明它的唯一性，比如打印出来的文件，但是存储在介质中的资料，是否进行了修改，在证据中都很难鉴别。目前的做法大多是从旁证上同电子证据一起形成证据链，认定犯罪事实。
2．法律上难以取得合法地位我国《刑事诉讼法》第五章第42条明确规定：“证明案件真实情况的一切事实，都是证据”。同时规定证据有七种形式，即物证、书证；证人证言；被害人陈述；犯罪嫌疑人、被告人供述和辩解；鉴定结论；勘验、检查笔录；视听资料。这七种证据里没有电子证据这种证据形式，这是否意味着电子证据不能作为案件的有效证据使用。有的学者认为，在诉讼法律没有明确作出规定之前，不能作为有效的证据使用。还有的学者认为，可以把电子证据归为视听资料，从而使电子证据具有法律根据。在公安、检察、法院三家认定上也有不同的看法，从而使得在一些案件中即使抓住了犯罪嫌疑人，在移送起诉阶段由于对证据的采信上的不同认识而导致认定的障碍。
3．保全上有相当的难度电子证据本身具有脆弱性，销毁起来也相当迅速，不像其他种类的证据，比如留下足迹，销毁起来比较困难。实践中，在保全这一问题上意识弱、动作慢，使电子证据被销毁，从而出现认定犯罪的困难。另外，电子证据的保全措施往往又依赖专门的机构，所以，难免会出现保全困难。
4．关于网络犯罪电子证据的取得主体面对网络犯罪，首先是缺少足够的刑侦手段和一定数量掌握高级计算机网络技术的刑侦人员。在网络色情活动和色情犯罪相对比较猖獗的美国，一批有正义感的资深网民自发地组成了“网络天使”组织，在互联网上追踪网络犯罪的踪迹，为法律机构搜索证据。我国现行刑诉法第四十三条规定：“审判人员、检察人员、侦查人员必须依照法定程序，收集能够证实犯罪嫌疑人、被告人有罪或者无罪、犯罪情节轻重的各种证据。”但法律没有授权被害人、自诉人、犯罪嫌疑人、被告人、证人、辩护人等可以作为收集刑事证据的主体。法律只规定其可以或负责提供证据，而没有规定可以收集证据。即使对于辩护律师，刑诉法和律师法也只是规定经人民检察院或人民法院许可，并经被害人或者其近亲属、被害人提供的证人同意；经证人或者其他有关单位和个人同意，可以向他们收集与本案有关的材料，并没有明确规定他们可以无限制地收集证据。所以并非任何人都可以收集刑事诉讼证据，在对网络犯罪电子证据的采集过程中对非司法机关、司法工作人员主体收集的电子证据不应采信。因此为了有利于打击网络犯罪，司法机关应注意对此类证据及时转化为发现和收集证据的线索，通过补充侦查的方式重新获取具有法律效力的相关证据。
5．违反程序或违法取得的电子证据的采信问题因网络犯罪中电子证据的分散性、易篡改性，网络服务器保存信息的期限性，侦查、检察和审判人员收集、提供的电子证据往往含有违法特征和残缺因素的证据，对此类证据应当权衡利弊得失，综合判断，将采用该证据所带来的不利后果与其具有的证明价值大小进行比较，从而完成个案中对程序正义和实体正义的最佳取舍，这就要求执法者务必提高业务素质并重视电子证据取证程序的合法性。这些都是进一步减少瑕疵电子证据所带来的负面效应的一种积极措施。
6．对于电子证据无法印证全部犯罪事实的采用规则由于网络犯罪的无国界性，一个网络犯罪行为从开始实施到最终危害结果之间可能在极短时间内经过无以计数的环节，其破坏对象也可能极为广泛，所以要收集证明完整犯罪事实所有电子证据往往是不可能的。对此类电子证据在确定其真实客观性的前提下，只要其具有关联性和合法性，能对作为犯罪构成的四大要件加以证明，例如对犯罪的客观方面包括行为的方式、对象、结果以及行为赖以存在的时空条件这些环节加以证实的电子证据即可作为定罪证据。
如在传播计算机病毒的犯罪中只要证明犯罪嫌疑人是病毒的作者，具有故意在网络上传播的行为，证明病毒的破坏结果，即可对犯罪嫌疑人定罪，而无需收集所有关于该病毒在网络上传播的记录和所有被破坏数据、电子设备的证据。对于无法全部证实的其他犯罪事实，不能简单视为证据不足不加以认定，在具体操作中也可在量刑时加以综合考虑。
