#This will generate a raw copy of the diskddif=/dev/sdbof=disk.img
dcfldd
#Raw copy with hashes along the way (more secur as it checks hashes while it's copying the data)dcflddif=<subjectdevice>of=<imagefile>bs=512hash=<algorithm>hashwindow=<chunksize>hashlog=<hashfile>dcflddif=/dev/sdcof=/media/usb/pc.imagehash=sha256hashwindow=1Mhashlog=/media/usb/pc.hashes
Sie können ein Festplattenabbild mit den ewf tools erstellen.
ewfacquire/dev/sdb#Name: evidence#Case number: 1#Description: A description for the case#Evidence number: 1#Examiner Name: Your name#Media type: fixed#Media characteristics: physical#File format: encase6#Compression method: deflate#Compression level: fast#Then use default values#It will generate the disk image in the current directory
Mount
Mehrere Typen
In Windows können Sie die kostenlose Version von Arsenal Image Mounter (https://arsenalrecon.com/downloads/) versuchen, um das forensische Image zu mounten.
cannot mount /dev/loop0 read-only in diesem Fall müssen Sie die Flags -o ro,norecovery verwenden.
wrong fs type, bad option, bad superblock on /dev/loop0, missing codepage or helper program, or other error. in diesem Fall ist das Einbinden fehlgeschlagen, da der Offset des Dateisystems anders ist als der des Disk-Images. Sie müssen die Sektorgröße und den Startsektor finden: