磁盘取证与文件系统分析

何时使用 / 何时不用

• 用：拿到磁盘镜像（dd / E01）或介质做取证——删除文件恢复、时间线重建、可疑文件/残留数据定位
• 用：事件响应需要"介质上发生过什么"（删了什么、什么时候写的、留了什么痕迹）
• 用：分区丢失/损坏后的分区表重建与文件抢救（testdisk）
• 不用：内存取证（那是 [[re-mem-forensics]]，与磁盘取证并列的另一个取证分支）
• 不用：普通文件系统挂载使用（那要可写挂载；取证一律只读，见坑 1）
• 不用：加密卷且无密钥——先找密钥（见坑 2）

工具准备

取证铁律：只读。本技能所有工具只读镜像文件、不挂载可写、不在原介质上写任何东西（见坑 1）。镜像获取与可疑对象提取的结果按 sha256 + 路径存档（取证要求可追溯，见 [[re-analyze/platform-tips]]）。

sleuthkit —— 取证分析主力（fls/icat/tsk_recover/mmls/fsstat/blkls）