| 挂载 | ewfmount 镜像 挂载点 → 生成 ewf1 虚拟文件 |
|---|---|
| 校验 | ewfverify 比对段校验值 |
挂载与校验
挂载与校验
ewfmount /evidence/disk.E01 /mnt/ewf
ls -l /mnt/ewf
fls -o 2048 -r -m "/" /mnt/ewf/ewf1 | head
ewfverify /evidence/disk.E01 | tail -3ewf1 是原始镜像视图，后续 TSK 工具直接对它操作即可。
E01 镜像的挂载与校验
EWF(E01) 镜像需要 ewf-tools：ewfmount 提供只读虚拟设备，ewfverify 用内置元数据校验完整性，适合跨机器移交。
易错点
- 卸载前别删除 ewf1 的挂载目录
- 分段 E01 要确保全部段文件同目录
数据来源与参考
- libewf 官方文档（ewfmount/ewfverify）