中文网站建设公司排名,城乡住房建设部网站,谷粉搜索谷歌搜索,没有网站怎么做淘宝客 文章目录
【电子取证#xff1a;FTK Imager 篇】DD、E01系统镜像动态仿真一、DD、E01系统镜像动态仿真 #xff08;一#xff09;使用到的软件 1、FTK Imager (v4.5.0.3)2、VMware Workstation 15 Pro (v15.5.2)#xff08;二#xff09;FTK Imager 挂载镜像 1、选择 … 文章目录
【电子取证FTK Imager 篇】DD、E01系统镜像动态仿真一、DD、E01系统镜像动态仿真 一使用到的软件 1、FTK Imager (v4.5.0.3)2、VMware Workstation 15 Pro (v15.5.2)二FTK Imager 挂载镜像 1、选择 Imager Mounting2、选择系统镜像挂载 *注意一三VMware新建虚拟机 1、新建虚拟机2、固件类型 *注意二3、处理器、内存及其它配置4、磁盘类型选择“SATA” *注意三5、本地磁盘 *注意四6、完成创建虚拟机7、打开虚拟机8、错误示范 *注意五结尾 一、DD、E01系统镜像动态仿真 在电子取证分析过程中我们经常遇到DD、E01等系统镜像然而并非所有工作者手边都有自动化取证软件我们如何利用手上的资源将镜像给仿真起来查看里面的数据本文以E01镜像为例DD镜像相同我们来通过简单的操作进行手动仿真让镜像数据活起来一使用到的软件
1、FTK IMAGER (V4.5.0.3) FTK Imager “可写”模式挂载系统镜像为本地驱动器。FTK Imager官网链接“https://accessdata.com/product-download/ftk-imager-version-4-5”。2、VMWARE WORKSTATION 15 PRO (V15.5.2) VM新建虚拟机仿真系统镜像。VM官网链接“https://www.vmware.com/products/workstation-pro/workstation-pro-evaluation.html”。二FTK IMAGER 挂载镜像 主要使用FTK Imager“可写”模式挂载系统镜像到本地驱动器1、选择 IMAGER MOUNTING 路径:文件-Imager Mounting;2、选择系统镜像挂载 1选择需要挂载的镜像文件;2选择Block Device/Writable3点击Mount;4记住驱动器号;*“注意一” 1特别强调第2步一定要选择“可写”模式否则镜像无法仿真起来!2mount成功后会在本地磁盘显示出新的分区可以打开Windows资源管理器查看以及默认在镜像位置新生成一个后缀为“.adcf”的镜像同名文件用来存放可写模式下镜像被修改的数据。镜像挂载前后对比挂载成功后默认在镜像的位置下生成一个后缀为.adcf的同镜像名文件用来存放镜像虚拟写入的文件。三VMWARE新建虚拟机
1、新建虚拟机
1新建虚拟机创建新的虚拟机-“自定义高级”-下一步虚拟机硬件兼容性默认即可
2稍后安装操作系统后面会用到FTK Imager挂载起来的镜像”
3选择对应的镜像系统
4虚拟机保存位置选择对应操作系统填写虚拟机名称、虚拟机保存的位置默认保存在C盘建议自定义保存在其它容量大的分区里面。如果不清楚镜像类型1看 FTK Imager 挂载起来的分区在“驱动器”里面可以看到“分区”的文件系统类型根据文件判断该挂载的镜像就为“Windows”2磁盘管理里面查看2、固件类型
*“注意二” 这个很重要选择错误系统将无法正确启动。Windows配置方面旧系统统一般选择BIOS现在多数电脑都是UEFI具体看挂载起来的系统镜像。3、处理器、内存及其它配置 有条件的建议配置高一些方便运行虚拟机。处理器和内存分配太小了会卡有时候镜像数据量大还不一定能运行起来。4、磁盘类型选择“SATA”
*“注意三” 磁盘类型一样看所选镜像这里测试了选择“SATA、SCSI”一般都可以启动成功选“NVMe”不行猜测镜像文件非NVMe固态硬盘所做。5、本地磁盘
*“注意四” 选择“使用物理磁盘”通常第一次选择点击下一步会请求以管理员权限运行需要允许然后设备选择前面 FTK Imager 挂载起来的对应驱动器号磁盘默认选择使用整个磁盘即可。6、完成创建虚拟机 到这里直接下一步即可完成虚拟机的创建了。整体上需要注意的几个点细心就行了。7、打开虚拟机 前面操作没问题的话系统镜像就正常被启动起来了。8、错误示范
*“注意五” 看分区类型如果显示EFI固件类型只能选择“UEFI”不能选择“BIOS”否则出现以下报错而且无法进入系统引导选择错误后选择忽略还是无法进入系统结尾 常出错的几个点都列出来了在这里还是多说几句经过测试发现 FTK Imager 新版本在挂载镜像的时候不是很稳定程序容易崩掉如发现系统仿真不起来建议更换FTK Imager低版本的再试下这是最快速的方法。太久不动了写的比较啰嗦有不对的地方欢迎指正谢谢大家后续会陆续分享一些电子取证方面的知识点。
