18、数字取证镜像采集技术详解

数字取证镜像采集技术详解

1. 远程磁盘采集至 EnCase 或 FTK 格式

可以将远程 SSH 命令通过管道传递给其他程序，以执行任务或转换为其他格式。例如，远程获取原始镜像并在写入磁盘时将其转换为 EnCase/EWF 格式。以下是一个将远程 PC 进行远程镜像采集并保存为 *.ewf 文件的示例：

# ssh remote-pc "dd if=/dev/sda" | ewfacquirestream -D 16048539022588504422 -t eepc-16048539022588504422

采集参数如下表所示：
| 参数 | 值 |
| — | — |
| 镜像路径和文件名 | eepc-16048539022588504422.E01 |
| 案件编号 | case_number |
| 描述 | 16048539022588504422 |
| 证据编号 | evidence_number |
| 检验员姓名 | examiner_name |
| 备注 | notes |
| 媒体类型 | fixed disk |
| 是否为物理盘 | yes |
| EWF 文件格式 | EnCase 6 (.E01) |
| 压缩方法 | deflate |
| 压缩级别 | none |
| 采集起始偏移量 | 0 |
| 采集字节数 | 0 (直到输入结束) |
| 证据分段文件大小 | 1.4 GiB (1572864000