证据与报告57 条

块级与文件级哈希的区分

对整个设备采集时，源盘按块读取、镜像按文件保存，比对要在同一口径上进行：dc3dd 的输入哈希与镜像文件哈希分别记录。

源侧	设备块读取的哈希（dc3dd hash= 输出）
产物侧	镜像文件的 sha256sum 结果

两侧记录

dc3dd if=/dev/sdb of=/evidence/sdb.dd hash=sha256 log=/evidence/sdb.log
sha256sum /evidence/sdb.dd >> /evidence/sdb.log

两者相等说明镜像忠实复现源盘；任一侧缺失时无法闭环，报告要注明缺口。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌