.png)
Windows取证
未读
【镜像取证篇】qemu-img磁盘镜像转换神器
Windows取证
未读
【镜像取证篇】仿真碎片-记一次镜像仿真失败的复盘过程
Windows取证
未读
【镜像取证篇】常见镜像文件类型
Windows取证
未读
【Windows取证篇】压缩包骗局，来自定制客户的计算机木马分析与TG黑灰产浅谈
本文详细分析了一起通过压缩包传播的计算机木马病毒案例，该病毒以"xxx舞蹈.zip"为伪装，内含一个名为"xxx自动转换.CHM"的文件。通过对该CHM文件进行静态和动态分析，发现其包含恶意JavaScript脚本，能够执行一系列高危行为，如修改用户外壳文件夹、获取敏感系统权限以及自动关闭电脑等。此外，文章还揭露了与此类攻击相关的Telegram黑灰产业链，包括群组成员信息、聊天记录及病毒文件更新情况。最后，作者提供了安全防护建议，强调提高安全意识的重要性，并提醒读者谨慎处理未知来源的文件与链接。
【镜像仿真篇】DD、E01系统镜像仿真教程
本文介绍了如何使用FTK Imager和VMware工具对DD、E01等系统镜像进行仿真，以便查看镜像中的数据。首先，通过FTK Imager的“可写”模式将镜像挂载为本地驱动器，需特别注意选择“Block Device/Writable”选项以确保镜像可以被正确仿真。接着，利用VMware创建一个新的虚拟机，并在创建过程中指定之前挂载的镜像作为操作系统来源。在配置虚拟机时，需要关注固件类型（BIOS或UEFI）、处理器与内存分配以及磁盘类型（推荐SATA）。文章还列举了常见的错误示例及解决方法，如固件类型选择不当导致无法启动等问题。最后提醒读者，如果遇到问题可能是因为FTK Imager版本不兼容，建议尝试使用低版本软件。
Windows取证
未读
【镜像仿真篇】Linux镜像仿真、E01镜像取证
【镜像仿真篇】Linux镜像仿真、E01镜像取证 主要是Linux镜像仿真（DD、E01仿真相同），还介绍了特别特殊的一个情况，就是在虚拟磁盘里的镜像再挂载本地，出现的“磁盘占用”，导致无法成功仿真的问题！—【蘇小沐】 前篇"
Windows取证
未读
【电子取证：镜像仿真篇】DD、E01系统镜像动态仿真
本文介绍了如何在没有自动化取证软件的情况下，手动将E01或DD格式的系统镜像进行动态仿真查看数据的方法。主要步骤包括使用FTK Imager（v4.5.0.3）以“可写”模式挂载镜像到本地驱动器，并通过VMware Workstation 15 Pro (v15.5.2) 新建虚拟机来仿真系统镜像。文中详细描述了从选择所需软件、挂载镜像文件至创建和配置虚拟机的具体操作流程及注意事项，如确保选择正确的固件类型（BIOS或UEFI）、磁盘类型（建议SATA），以及使用物理磁盘作为虚拟机硬盘等关键点。最后提醒读者注意FTK Imager版本的选择，较旧版本可能更稳定。
【镜像仿真篇】Arsenal Image Mounter镜像挂载利器
【镜像仿真篇】Arsenal Image Mounter镜像挂载利器 Arsenal Image Mounter是一款非常优秀的磁盘挂载工具，在Microsoft Windows中可以将磁盘映像的内容作为“真实磁盘”挂载到系统中—【蘇小沐】 1、Arsenal Image Mounter简介 Ars
Windows取证
未读
【镜像仿真篇】ESXi镜像仿真教程
【镜像仿真篇】ESXi镜像仿真教程 我以为不会再有使用FTK Imager低版本的时候，毕竟Arsenal Image Mounte是我目前遇到的最强镜像挂载软件，直到这次遇到了这个ESXi镜像仿真的时候一直报错-–【蘇小沐】 1、实验环境
Windows取证
未读
【镜像取证篇】DD和E01镜像格式区别（简）
本文简要介绍了DD和E01两种镜像格式的区别及其在电子数据取证中的应用。实验环境基于Windows 11专业工作站版、FTK Imager 4.7.1.2等工具。DD镜像是一种原始格式（RAW Image），对数据进行位对位复制，与源盘大小一致，兼容性强但不压缩，导致存储需求高。E01镜像由EnCase定义，支持压缩，通常比源盘小，通过设置不同的压缩级别可以显著减少文件大小。对于空盘或非空盘的数据情况，E01镜像在适当压缩级别下能够有效节省存储空间。文章还提供了相关软件下载链接。
