windows没有磁盘_Windows硬盘和内存镜像取证

Windows硬盘和内存镜像取证

在Windows系统上，有winhex等神器，可以对本地硬盘和物理内存完成镜像取证等工作，但如何对远程的Windows系统的硬盘和物理内存数据进行集中的镜像取证呢？除了在本地镜像为文件外，本文将介绍一种方法，将更方便的完成远程Windows硬盘和物理内存的数据镜像取证。

准备工作

一台被镜像取证的电脑运行的Windows系统

一台要被镜像取证的电脑运行的Windows系统

两台电脑要能通过网络通信，并且最好是有线千M网络，因为被镜像取证Windows系统的硬盘数据，是通过网络传输到取证系统的虚拟磁盘上，所以网络速度至关重要。

安装软件

在被镜像取证的Windows系统上，下载RFSD并运行，RFSD是跨平台的文件操作服务，通过该服务可实现读取Windows硬盘数据。

RFSD主页：http://ranfs.com/cn/?RFSD

在管理员权限的powershell执行如下命令

 $rfsd_dir="c:rfsd";Invoke-Expression(New-Object Net.WebClient).DownloadString("http://ranfs.com/pub/rfsd/all/get.ps1")

安装完成，rfsd作为服务会自动运行，如果安装了360等安全软件，请允许相关权限请求。

在没有powershell的系统，下载下面的压缩包

地址：http://ranfs.com/pub/rfsd/windows/rfsd-windows-x86.zip

下载解压后，请用管理员权限运行install.bat，至此被镜像取证系统上的准备工作完成。

---

在要镜像取证的Windows系统上，安装RFDK，RFDK是虚拟磁盘驱动器，可以把远程硬盘虚拟为本地磁盘。

RFDK主页：http://ranfs.com/cn/?RFDK

下载地址：http://ranfs.com/pub/rfdk/windows/rfdk.zip

下载到本地解压，执行install.bat等待安装完成，至此准备工作完成。

更多的帮助见安装包里的：rfdk-cn.pdf

使用rfdk-gui挂载磁盘和物理内存

在Windows上运行rfdk-gui，新建客户端连接如下图：

假定RFSD运行的电脑Ip地址为192.168.63.130，点击确定添加完成，这时主界面上会显示当前电脑，拥有的相关存储设备列表。

双击红圈.PhysicalDrive0栏目，会弹出挂载磁盘配置对话框，默认只读，确定后就完成了磁盘挂载。双击红圈.PhysicalMemory栏目，完成物理内存挂载。

注意：读取物理内存需要加载驱动，请允许RFSD加载驱动，否则可能会返回超时错误。请确保网络正常，及RFSD正常运行，如果网络断了或RFSD异常关闭，虚拟磁盘将自动消失。

遇到不能解决的问题，请联系：tech@ranfs.com, 或加QQ群：599829506。