镜像仿真
未读
【镜像取证篇】DD、E01系统镜像动态仿真
本文介绍了如何手动对DD、E01系统镜像进行动态仿真,以便在没有自动化取证软件的情况下查看镜像中的数据。文章首先概述了实验环境,包括使用FTK Imager (v4.5.0.3) 和 VMware Workstation 15 Pro (v15.5.2) 工具。接着详细讲解了通过FTK Imager以“可写”模式挂载镜像到本地驱动器的过程,并强调了选择“Block Device/Writable”的重要性。随后,文章指导读者如何利用VMware创建新的虚拟机来仿真挂载的镜像,包括选择正确的操作系统、固件类型(BIOS或UEFI)、处理器和内存配置等步骤。最后,作者提醒了一些常见错误及注意事项,如根据分区类型正确选择固件类型等,以确保能够成功启动并访问镜像内容。
镜像取证
未读
【镜像取证篇】DD和E01镜像格式区别(简)
本文介绍了DD和E01两种镜像格式的区别及其特点。实验环境为Windows 11专业工作站版,使用FTK Imager 4.7.1.2对NTFS格式的2GB空盘进行镜像制作。DD镜像是一种原始镜像,采用位对位复制,文件大小与源盘一致,优点是兼容性强、制作速度快,但没有压缩,占用空间大。E01镜像是EnCase的一种证据文件格式,支持压缩,一般比源盘小,国内外取证软件普遍支持。在对比两者大小时发现,当数据为空盘且未设置压缩级别时,E01镜像可能不比DD镜像小;但在设置高压缩级别(如9)后,E01镜像显著减小。文章最后提供了相关软件的下载链接。
镜像仿真
未读
【镜像仿真篇】DD、E01系统镜像仿真教程
本文介绍了如何使用FTK Imager和VMware手动仿真DD、E01等系统镜像以查看其中的数据。首先,通过FTK Imager的“可写”模式将镜像挂载为本地驱动器,确保选择"Block Device/Writable"选项,并记住挂载后的驱动器号。接着,在VMware中新建虚拟机,根据挂载镜像的具体情况(如文件系统类型、固件类型)进行配置。创建过程中需注意处理器、内存分配以及磁盘类型的选择。完成设置后,即可启动虚拟机并访问镜像数据。文章还提供了错误示范及解决方法,强调了版本兼容性问题,并分享了相关软件下载链接。
镜像仿真
未读
【镜像取证篇】DD系统镜像仿真问题的一些补充说明
本文主要介绍了DD系统镜像仿真过程中可能遇到的问题及其解决方法。首先强调了环境的重要性,建议使用Windows专业版以获得更全面的功能支持。接着详细说明了不同类型的法证镜像文件(如.DD、.E01等)的特点和作用,并指出镜像仿真的前提是拥有完整的系统镜像。文章还讨论了镜像挂载问题、权限设置、数据完整性以及仿真过程中可能出现的卡顿或等待时间过长的情况,提供了相应的解决方案。最后提醒读者注意硬件兼容性对镜像仿真效果的影响,并鼓励大家在遇到问题时多尝试不同的方法。此外,作者还提供了一些相关软件下载链接以便读者进一步实践学习。

.png)