仅成像自由空间

Question

在进行数据取证时，有时只需要文件系统的空闲空间，就可以对其进行进一步的分析/启发式处理。有什么工具可以让自由空间成像吗？我能找到的任何东西都只支持用过的空间成像。

Answer 1

有Access Data FTK成像仪Lite，这是他们的商业产品的一个~5年的免费版本。

我以前从未导出过未分配的空间，但它似乎有效：

1. 添加逻辑驱动器作为证据项。
2. 扩展树
3. 选择未分配空间
4. 右击，选择“导出逻辑图像(AD1).”
5. 点击“添加.”定义目标图像文件
6. 当要求提供证据项目信息时，单击“下一步”
7. 定义文件名后单击"Finish“
8. 单击“开始”以实际启动成像过程

为分析数据：

1. 单击“文件/图像安装……”
2. 选择前面创建的AD1文件
3. 单击“挂载”按钮

现在您将有一个带有文件夹和文件的磁盘驱动器，这些文件夹和文件的名称都是数字。您可以在文本或十六进制编辑器中打开它们并进行调查。

缺点：

• 进度条似乎是关于单个未分配空间的。很难追踪真正的进展。如果您选中“预计算进度统计”框(我没有这样做)，这可能会更好
• 文件格式为AD1，这是一种访问数据格式。您可能找不到其他可以打开此类文件的工具。