磁盘映像与文件系统取证

取证镜像会在保持证据完整性的同时，创建存储介质逐位一致的副本。绝不能修改原始证据，请使用经过写保护的副本进行操作。请分别对原始证据和副本计算哈希值，以验证完全一致。

硬件写保护器可从物理上阻止写命令到达证据驱动器。软件写保护器（dc3dd、FTK Imager）可阻止操作系统层面的写入。在将证据驱动器连接到系统前，务必使用写保护器，以防止意外修改证据。

dd 可创建原始磁盘镜像。dc3dd 增加了进度报告、哈希计算和分割输出功能，这些功能对大型驱动器至关重要。使用 bs=4096 可提升性能。请验证镜像哈希值与证据哈希值匹配，以证明完整性。

FTK Imager 为 Windows 磁盘镜像提供 GUI。它支持 E01（专家证人格式），该格式会压缩镜像，并在文件头中存储哈希值、采集详细信息和检查员备注，是证据取证的标准格式。

FAT32 会将文件元数据存储在目录项中，并将分配链存储在文件分配表中。已删除文件的目录项会留下 0xE5 标记；FAT 链会被清零，但数据簇可能仍然存在。恢复工具会利用这些残留信息。

NTFS 将所有元数据存储在主文件表（MFT）中。每条 MFT 记录描述一个文件。$LogFile 记录更改，用于崩溃恢复。$UsnJrnl（更改日志）记录每次文件操作，即使文件已删除，也为重建时间线提供宝贵信息。

Autopsy 和 Sleuth Kit 通过扫描包含已释放数据簇的完整 MFT 项来恢复已删除文件，还会执行文件雕刻：无论文件系统元数据如何，都能在原始簇数据中识别文件魔数字节（签名）。

文件雕刻依据未分配空间中的文件头和文件尾（魔数字节）恢复文件。JPEG 以 FF D8 FF 开头。PDF 以 25 50 44 46 开头。ZIP 以 50 4B 03 04 开头。Scalpel 和 PhotoRec 是主要的文件雕刻工具。

Autopsy 根据 MAC 时间（修改、访问、更改）和 $UsnJrnl 条目生成时间线。请在疑似入侵时间前后进行筛选，查看创建、修改或删除了哪些文件，从而按时间顺序重建攻击者的操作。

Windows 注册表记录已安装软件、USB 设备（USBSTOR）、最近使用的文档、上次登录的用户以及运行键持久化信息。Registry Explorer 和 RegRipper 可从磁盘镜像中提取并解析注册表配置单元，以分析取证痕迹。

浏览器历史记录、网站标识数据、缓存文件和表单数据存储在 SQLite 数据库中。Chrome 使用 LevelDB。提取这些痕迹可以揭示攻击者的侦察活动、数据外泄暂存过程和基于网络的命令通道。

为什么在检查证据硬盘时必须使用写保护器？

磁盘取证始于使用写保护器并通过哈希校验确保镜像符合取证规范。NTFS MFT、$UsnJrnl、注册表配置单元、浏览器数据库，以及对未分配空间进行文件雕刻，共同帮助重建受入侵系统上的攻击者活动。