.png)
镜像取证
未读
【镜像取证篇】FTK Imager制作镜像详细教程
本文详细介绍了使用FTK Imager创建磁盘镜像的全过程，特别以DD镜像制作为例。首先选择源证据类型，包括物理驱动器、逻辑驱动器、映像文件等。接着选定需要制作镜像的具体磁盘，如文中使用的30GB SanDisk U盘。然后选择镜像格式（推荐E01，示例中为DD），填写案件信息（非必填），设置镜像参数，包括存储位置和分卷大小（默认1500MB，不分卷填0）。此外，还可以选择是否加密镜像，并设置验证选项来确保镜像的完整性。最后，完成镜像制作后会生成详细的记录文本，包含设备信息、散列值以及镜像段列表等。文章还提供了资源下载链接以便读者获取相关软件。
镜像仿真
未读
【镜像取证篇】DD、E01系统镜像动态仿真
本文介绍了如何手动对DD、E01系统镜像进行动态仿真，以便在没有自动化取证软件的情况下查看镜像中的数据。文章首先概述了实验环境，包括使用FTK Imager (v4.5.0.3) 和 VMware Workstation 15 Pro (v15.5.2) 工具。接着详细讲解了通过FTK Imager以“可写”模式挂载镜像到本地驱动器的过程，并强调了选择“Block Device/Writable”的重要性。随后，文章指导读者如何利用VMware创建新的虚拟机来仿真挂载的镜像，包括选择正确的操作系统、固件类型（BIOS或UEFI）、处理器和内存配置等步骤。最后，作者提醒了一些常见错误及注意事项，如根据分区类型正确选择固件类型等，以确保能够成功启动并访问镜像内容。
镜像取证
未读
【镜像取证篇】FTK Imager中文设置教程
本文介绍了如何将FTK Imager这款镜像取证工具的界面切换为中文。由于该软件默认不支持语言切换，作者提供了一种通过修改Windows注册表来实现中文化的方法。具体步骤包括：创建一个新的文本文件，在其中写入特定的注册表编辑代码，将文件后缀改为.reg并双击运行以应用更改。如果需要切换回英文界面，只需在注册表项中将“CHS”（简体中文）改为“ENU”（英语），再次运行即可。文章还简单介绍了HKEY_CURRENT_USER路径下注册表键值的作用，并提供了资源下载链接。
镜像取证
未读
【镜像取证篇】听说你还分不清镜像的源盘哈希和镜像文件的哈希？
本文详细探讨了镜像取证中常见的两种镜像格式——DD镜像和E01镜像，并解释了它们各自的特点及哈希值的区别。实验环境包括Windows 11、AccessData FTK Imager和X-Ways Forensics等工具。通过对比，发现DD镜像的文件哈希与源盘哈希一致，而E01镜像则不一致，这是因为E01镜像内部可以存储额外的元数据信息并支持压缩。文章还强调，在遇到镜像文件哈希不一致时，应先检查源盘哈希是否一致以确认数据未被污染。最后，根据不同的应用场景（如长时间运行的监控视频硬盘），建议选择合适的镜像类型。此外，文中还提供了多种哈希软件的下载链接供读者参考。
镜像取证
未读
【电子取证篇】FTK Imager取证教程合集，看这一篇也够了（附下载）
本文详细介绍了FTK Imager这款电子取证工具的使用方法，包括中文界面设置、制作磁盘镜像、内存镜像以及数据恢复等功能。通过修改注册表可以实现FTK Imager的中英文界面切换，具体步骤为创建一个包含特定代码的注册表文件并运行。在制作磁盘镜像时，可以选择不同的源类型如物理驱动器或逻辑驱动器，并可选择镜像格式（如DD或E01）。此外，文章还讲解了如何挂载磁盘镜像以及利用FTK Imager进行数据恢复的操作流程，强调了在实际操作过程中应注意保护原始数据完整性的重要性。最后，作者分享了自己封装的便携版FTK Imager单文件资源供读者下载使用。
镜像取证
未读
【镜像取证篇】FTK imager校验外部镜像的源盘哈希值
本文介绍了如何使用FTK Imager工具校验E01镜像文件的源盘哈希值，确保数据的一致性和完整性。实验环境为Windows 11专业工作站版和AccessData FTK Imager v4.7.1.2。文章详细说明了通过添加证据项、选择镜像文件路径，并利用两种不同方法（菜单栏或右键快捷方式）来校验镜像文件的过程。最终，对比得到的源盘哈希值与制作镜像时记录的哈希值一致，证明了数据未被篡改。此外，文中还强调了“镜像文件”的哈希值与“镜像的源盘”哈希值的区别，提醒读者不要混淆两者。最后，作者提供了相关资源下载链接以供进一步学习。
内存取证
未读
【镜像取证篇】FTK Imager制作内存镜像
本文介绍了使用FTK Imager工具制作内存镜像的步骤。首先，可以通过菜单栏“文件->捕获内存镜像”或工具栏中的相应图标启动内存镜像捕获过程。在创建过程中，用户需要指定镜像存储路径和名称，并可选择是否包含页信息及创建AD1格式文件。值得注意的是，最终生成的内存镜像大小不仅取决于物理内存容量，还与当前运行的应用程序占用内存情况有关。文章最后提醒读者，尽管操作相对简单，但仍需注意及时性和正确性。此外，文档提供了软件下载链接供读者参考。
