Linux 取证135 条

dd 镜像采集与哈希校验

整盘镜像沿用 dd 语义：指定块大小、忽略读错误并同步填充零，完成后立即计算哈希并两次记录，形成可校验的镜像文件。

命令	dd if=<源> of=<镜像> bs=4M
要点	conv=noerror,sync 应对坏扇区，status=progress 观察进度

采集与校验

dd if=/dev/sdb of=/mnt/ev/disk.img bs=4M conv=noerror,sync status=progress
sha256sum /mnt/ev/disk.img | tee /mnt/ev/disk.img.sha256

dc3dd、dcfldd 等取证向工具可在采集同时输出哈希与错误统计，附带工具版本更利于复现。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌