鉴证科副本

Question

在取证中，通常推荐使用dcfldd复制硬盘驱动器。dcfldd比dd更受欢迎的原因之一是它具有即时散列功能。

问:我真的可以依靠这个特性来确保我的拷贝的完整性，因为散列是在内存中的数据上执行的，而不是写在磁盘上的数据吗？

Answer 1

如果创建并验证哈希，它将检测到发生在写选项上的错误。正如您所指出的，无法检测到读取错误，因为它们将发生在散列之前。

根据鞋类取证博客，您可以使用以下方法验证副本：

dcfldd if=/dev/sdb1 vf=/media/disk/test_image.dd verifylog=/media/disk/verifylog.txt

如果散列检查失败，则应重做副本。