镜像取证
未读
【镜像取证篇】DD和E01镜像格式区别(简)
本文介绍了DD和E01两种镜像格式的区别及其特点。实验环境为Windows 11专业工作站版,使用FTK Imager 4.7.1.2对NTFS格式的2GB空盘进行镜像制作。DD镜像是一种原始镜像,采用位对位复制,文件大小与源盘一致,优点是兼容性强、制作速度快,但没有压缩,占用空间大。E01镜像是EnCase的一种证据文件格式,支持压缩,一般比源盘小,国内外取证软件普遍支持。在对比两者大小时发现,当数据为空盘且未设置压缩级别时,E01镜像可能不比DD镜像小;但在设置高压缩级别(如9)后,E01镜像显著减小。文章最后提供了相关软件的下载链接。
镜像仿真
未读
【镜像仿真篇】DD、E01系统镜像仿真教程
本文介绍了如何使用FTK Imager和VMware手动仿真DD、E01等系统镜像以查看其中的数据。首先,通过FTK Imager的“可写”模式将镜像挂载为本地驱动器,确保选择"Block Device/Writable"选项,并记住挂载后的驱动器号。接着,在VMware中新建虚拟机,根据挂载镜像的具体情况(如文件系统类型、固件类型)进行配置。创建过程中需注意处理器、内存分配以及磁盘类型的选择。完成设置后,即可启动虚拟机并访问镜像数据。文章还提供了错误示范及解决方法,强调了版本兼容性问题,并分享了相关软件下载链接。
镜像仿真
未读
【镜像仿真篇】Linux镜像仿真、E01镜像取证
本文介绍了Linux镜像(包括DD和E01格式)的仿真过程,特别强调了在虚拟磁盘中挂载镜像时可能遇到的“磁盘占用”问题。首先使用FTK Imager以“可写”模式挂载镜像,并确保其真实挂载到本地磁盘。接着,在VMware中创建新的虚拟机,选择合适的客户端镜像系统(如Ubuntu)、磁盘类型(SATA或SCSI),并指定使用物理磁盘,即FTK Imager挂载的驱动器号。文章提醒读者注意检查“磁盘管理”中的挂载情况,以避免因磁盘占用导致无法成功仿真。最后提供了相关软件下载链接。

.png)