.png)
镜像取证
未读
【镜像取证篇】听说你还分不清镜像的源盘哈希和镜像文件的哈希？
本文详细探讨了镜像取证中常见的两种镜像格式——DD镜像和E01镜像，并解释了它们各自的特点及哈希值的区别。实验环境包括Windows 11、AccessData FTK Imager和X-Ways Forensics等工具。通过对比，发现DD镜像的文件哈希与源盘哈希一致，而E01镜像则不一致，这是因为E01镜像内部可以存储额外的元数据信息并支持压缩。文章还强调，在遇到镜像文件哈希不一致时，应先检查源盘哈希是否一致以确认数据未被污染。最后，根据不同的应用场景（如长时间运行的监控视频硬盘），建议选择合适的镜像类型。此外，文中还提供了多种哈希软件的下载链接供读者参考。
镜像取证
未读
【镜像取证篇】FTK imager校验外部镜像的源盘哈希值
本文介绍了如何使用FTK Imager工具校验E01镜像文件的源盘哈希值，确保数据的一致性和完整性。实验环境为Windows 11专业工作站版和AccessData FTK Imager v4.7.1.2。文章详细说明了通过添加证据项、选择镜像文件路径，并利用两种不同方法（菜单栏或右键快捷方式）来校验镜像文件的过程。最终，对比得到的源盘哈希值与制作镜像时记录的哈希值一致，证明了数据未被篡改。此外，文中还强调了“镜像文件”的哈希值与“镜像的源盘”哈希值的区别，提醒读者不要混淆两者。最后，作者提供了相关资源下载链接以供进一步学习。
