| 介质要求 | 写保护 U 盘 + 工具哈希清单 |
|---|---|
| Linux 侧 | busybox、socat、tcpdump、dcfldd、chkrootkit、rkhunter、LiME |
| Windows 侧 | Sysinternals 套件、WinPmem、Autoruns、KAPE |
| 通用 | sha256 工具、加密归档、空白证据盘 |
工具与用途对照
| 工具 | 平台 | 用途 |
|---|---|---|
| busybox（静态） | Linux | 系统命令被替换时的替代排查 |
| dcfldd | Linux | 带哈希的磁盘镜像 |
| tcpdump | Linux | 离线抓包固定网络证据 |
| Autoruns | Windows | 全量启动项核对 |
| WinPmem / LiME | Windows / Linux | 内存采集 |
工具自身完整性先校验
工具自身完整性先校验
sha256sum busybox dcfldd tcpdump
chmod +x busybox dcfldd tcpdump
# 与随附哈希清单比对，一致才允许在受害主机上运行应急工具本身可能被植入后门：只从官方或可信介质拷贝，并现场校验哈希。