【镜像取证篇】FTK imager校验外部镜像的源盘哈希值
使用FTK imager校验E01镜像文件的源盘哈希值—【蘇小沐】
1、实验环境
|
|
(一)FTK imager校验镜像源盘哈希
1、添加证据项
路径:选择菜单栏的"添加证据项"->“源证据类型”->“映像文件(I)”->选择镜像所在路径。
选择镜像文件所在路径。
2、校验镜像文件
路径1:菜单栏"文件"->“校验驱动/镜像”,即可计算当前添加的镜像文件。
(一定要是先添加了镜像或者驱动等,这里的选项才可用,不然是灰色不可选的哟)
路径2:或者直接在"证据树(E)“右键刚添加的镜像文件,选择"校验驱动/镜像”,即可计算当前添加的镜像文件。
校验进度
3、校验结果
得到的就是源盘的哈希值。
和制作镜像文件时的记录做对比,源盘校验值一致!!!
(二)"镜像文件"的哈希和"镜像的源盘"哈希比较
"E01镜像文件"等压缩镜像格式的哈希值不等于"镜像的源盘"哈希值!!!
总会有人把这两个搞混,觉得一会镜像文件的哈希,一会又是源盘的哈希,同一个盘出来的,怎么计算的哈希还不一样?是不是检材被污染啦?是不是工具出了问题啊?下一篇会展开啰嗦下。
总结
书写片面,纯粹做个记录,有错漏之处欢迎指正。
公众号回复关键词【FTK】自动获取资源合集。
【声明:欢迎转发收藏,个人创作不易,喜欢记得点点赞!!!转载引用请注明出处,著作所有权归 [蘇小沐] 所有】
【注:共享资源收集于官网或互联网公开材料,仅供学习研究,如有侵权请联系删除,谢谢!】
记录 |
开始编辑:2024年 12月 24日 |
|
【往期精彩回顾】
关注我,了解更多取证知识,别忘了点赞+在看哦!****
本文转自 https://mp.weixin.qq.com/s/445g4QfennKU4TGvpMF1Og,如有侵权,请联系删除。