证据与报告57 条

ddrescue 采集可疑介质

对存在坏道的介质用 ddrescue：先快速抓取可读区域，再对疑难区域多轮重试，映射文件让过程可中断续跑。

参数	-d 直接访问；-r3 三轮重试；第三个位置参数为映射文件
价值	可中断、可续跑、保留出错地图

采集与续跑

ddrescue -d -r3 /dev/sdb /evidence/sdb.dd /evidence/sdb.map
# 中断后重复同一命令即可续跑
ddrescuelog -t /evidence/sdb.map | head

遇到持续报错的介质，先做镜像再分析；直接在现场反复读会加速劣化。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌