镜像仿真
未读
【镜像取证篇】仿真碎片-记一次镜像仿真失败的复盘过程
本文记录了一次使用FTK Imager进行镜像仿真的过程,实验中使用的系统为Windows 10专业版和VMware Workstation 16 Pro。在尝试挂载并仿真一个430GB的机械硬盘(确认为Win7系统)时,遇到了无法正常进入系统的困难。尽管能够看到Windows启动界面,但总是显示错误信息。通过多次尝试修复未果后,最终将磁盘类型从SATA改为IDE,成功解决了问题,使得系统能够正常启动。整个过程强调了选择正确的磁盘类型对于镜像仿真成功的重要性,并提醒读者在遇到类似问题时可以考虑调整磁盘类型作为解决方案之一。文章最后提供了相关软件的下载链接以供参考。
镜像取证
未读
【镜像取证篇】常见镜像文件类型
本文总结了常见的镜像文件类型及其后缀名,包括AFF、RAW(.dd, .001, .raw, .bin)、DMG、EWF(.e01, .ex01)、GHO、IMG、ISO、L01、S01和WHX等。这些镜像文件格式在电子取证领域中被广泛应用,每种格式都有其特定的用途和特点。文章还提供了多个相关主题的文章链接,供读者深入了解不同类型的镜像文件及它们在实际操作中的应用。此内容由作者[蘇小沐]整理提供,旨在为读者提供一个快速参考指南。
镜像取证
未读
【镜像仿真篇】Arsenal Image Mounter镜像挂载利器
Arsenal Image Mounter是一款强大的磁盘挂载工具,能够在Windows系统中将磁盘映像作为“真实磁盘”挂载。它支持启动虚拟机、管理BitLocker加密卷等功能。用户可以从其官方网站下载该软件,并且需要在Microsoft .Net Framework 4.0环境下运行。安装后,用户可以通过选择镜像文件并设置只读或写入临时磁盘设备模式来挂载磁盘。成功挂载后,可在磁盘管理器中查看已挂载的磁盘信息。此外,Arsenal Image Mounter还允许用户轻松更改已挂载磁盘的模式,无需重新挂载,提供了极大的便利性。总的来说,它是Windows平台上一个免费且高效的磁盘挂载解决方案。
镜像取证
未读
【镜像取证篇】DD和E01镜像格式区别(简)
本文介绍了DD和E01两种镜像格式的区别及其特点。实验环境为Windows 11专业工作站版,使用FTK Imager 4.7.1.2对NTFS格式的2GB空盘进行镜像制作。DD镜像是一种原始镜像,采用位对位复制,文件大小与源盘一致,优点是兼容性强、制作速度快,但没有压缩,占用空间大。E01镜像是EnCase的一种证据文件格式,支持压缩,一般比源盘小,国内外取证软件普遍支持。在对比两者大小时发现,当数据为空盘且未设置压缩级别时,E01镜像可能不比DD镜像小;但在设置高压缩级别(如9)后,E01镜像显著减小。文章最后提供了相关软件的下载链接。
镜像仿真
未读
【镜像取证篇】qemu-img磁盘镜像转换神器
本文介绍了使用qemu-img工具进行磁盘镜像格式转换的方法,特别适用于取证和仿真环境的搭建。qemu-img是一个强大的工具,支持多种虚拟磁盘格式(如vmdk、vhdx、qcow2、vdi等)之间的相互转换,并且在Linux、macOS、Windows上都有对应的版本可用。文章详细列举了qemu-img支持的不同镜像格式及其对应的参数选项,并提供了具体的命令示例,例如将raw或qcow2格式的镜像文件转换为vmdk格式。此外,还附有命令说明,帮助用户更好地理解和使用该工具。最后,作者强调了命令中大写O选项的重要性,并提供了资源下载链接以便读者获取qemu-img软件。
镜像取证
未读
【镜像取证篇】听说你还分不清镜像的源盘哈希和镜像文件的哈希?
本文详细探讨了镜像取证中常见的两种镜像格式——DD镜像和E01镜像,并解释了它们各自的特点及哈希值的区别。实验环境包括Windows 11、AccessData FTK Imager和X-Ways Forensics等工具。通过对比,发现DD镜像的文件哈希与源盘哈希一致,而E01镜像则不一致,这是因为E01镜像内部可以存储额外的元数据信息并支持压缩。文章还强调,在遇到镜像文件哈希不一致时,应先检查源盘哈希是否一致以确认数据未被污染。最后,根据不同的应用场景(如长时间运行的监控视频硬盘),建议选择合适的镜像类型。此外,文中还提供了多种哈希软件的下载链接供读者参考。
镜像仿真
未读
【镜像仿真篇】磁盘镜像仿真常见错误
本文总结了磁盘镜像仿真过程中常见的错误及其解决方法。实验环境包括Windows 11系统镜像、Arsenal Image Mounter和VMware Workstation 17 Pro等工具。文章详细描述了三类常见错误:虚拟机报错(如物理磁盘已被使用)、界面报错(如No Media、unsuccessful)以及计算机系统镜像挂载报错(如Volume Shadow Copy)。针对每种错误,提供了具体的排查步骤和解决方案,例如通过资源监视器查找占用进程、开启必要的Windows服务、删除.lck文件或修改.vmx文件等。此外,还提供了一些扩展内容,如如何处理VMware挂载物理磁盘时提示被占用的问题。文章最后附有相关资源下载链接及往期精彩回顾。
镜像取证
未读
【镜像取证篇】VMware虚拟机配置文件取证
本文介绍了VMware虚拟机配置文件的取证方法,重点关注了.log、.vmdk和.vmem三个文件。实验环境使用的是VMware Workstation 16 Pro和Windows 11专业版。文章详细描述了虚拟机在挂起状态下的文件情况,并对常见的虚拟机文件进行了介绍,包括日志文件(.log)、虚拟磁盘文件(.vmdk)、内存文件(.vmem)、快照相关文件(.vmsd、.vmsn)、挂起状态信息文件(.vmss)、硬件配置文件(.vmx)等。此外,还提到了其他辅助文件如附加配置文件(.vmxf)、BIOS状态信息文件(.nvram)以及锁定文件夹(.lck)。最后,作者强调了理解基础原理的重要性,并提供了资源下载链接。

.png)