证据与报告57 条

dc3dd 带哈希与日志的采集

dc3dd 在块级采集基础上内置哈希计算与操作日志，适合规范化的证据固定流程，日志文件可作为过程记录。

参数	hash=sha256 计算输入哈希；log= 写操作日志
产物	镜像、日志、（可选）进度输出

采集

dc3dd if=/dev/sdb of=/evidence/sdb.dd hash=sha256 log=/evidence/sdb.log
sha256sum /evidence/sdb.dd

日志记录了起止时间、扇区数与读取错误计数，归档时与镜像同目录保存。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌