19、数字取证：获取分区信息与遍历文件

数字取证：获取分区信息与遍历文件

在数字取证领域，我们常常需要从证据文件中获取关键信息，如分区表和文件列表。本文将介绍两个重要的Python脚本，分别用于查看和打印分区表，以及递归遍历文件系统并生成活动文件列表。

1. 查看和打印分区表

此脚本的主要目的是使用 tabulate 库查看和打印分区表，并针对E01容器打印存储在证据文件中的采集和容器元数据。

1.1 准备工作

• Python版本 ：2.7
• 操作系统 ：Linux
• 依赖库 ： pytsk3 、 pyewf 、 tabulate ，其他库为Python标准库。构建环境和设置细节可参考相关资料。

1.2 操作步骤

1. 识别证据容器类型 ：判断是原始图像还是E01容器。
2. 使用 pytsk3 访问图像 ：根据容器类型创建相应的 pytsk3 句柄。
3. 打印E01元数据（若适用） ：调用 e01_metadata() 函数打印E01容器的元数据。
4. 打印分区表数据