证据与报告57 条

dd 采集镜像与关键参数

dd 是通用的块级采集工具，配合合适块大小与错误处理参数可完成基础镜像；采集后必须立刻计算并记录哈希。

参数	bs=4M 块大小；conv=noerror,sync 遇错继续并填充；status=progress 进度
单位	if/of 允许设备与普通文件

采集与记录

sudo dd if=/dev/sdb of=/evidence/sdb.dd bs=4M conv=noerror,sync status=progress
sha256sum /evidence/sdb.dd | tee /evidence/sdb.sha256

先把系统里的自动挂载停掉，避免采集期间源盘被挂载写入。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌