☰

寻找将整个硬盘映像到外部 USB 驱动器的方法

tag-icon • tag-icon windows hard-drive external-hard-drive forensics replicate
寻找将整个硬盘映像到外部 USB 驱动器的方法

我有一个 100GB NTFS 格式的驱动器和一个 250GB 外部 USb 磁盘。

我正在考虑使用活动磁盘，如此处所述，但我将跳过 gzip 部分。

http://www.hanckmann.net/?q=node/19

我有足够的空间。我只想备份所有内容（包括可恢复的已删除文件）以供取证。这就是为什么 gzip 在这种情况下更麻烦的原因（我认为）。

无论如何，如果我使用这个命令：

sudo dd if=/dev/hd_ > /mnt/hd__/image_name.dd

这会保存所有内容，还是仅保存健康的现有目录结构？

另外，稍后安装该映像的最简单方法是什么：A）Mac OS Leopard B）Windows XP / Vista / 7？

我更喜欢免费版本的软件，但如果产品很棒，我也会考虑花一些钱。

谢谢您，新年快乐！

答案1

dd 是执行此操作的最佳方法。虽然您发布的方法在技术上可行（未指定输出文件，但 dd 将输出发送到 shell）。正如 Wil 所说，最好使用 sudo dd if=/dev/hdX of=/dev/hdY Not，这样磁盘也可以显示为/dev/sdX。如果您不确定哪个磁盘是哪个，请键入sudo fdisk /dev/hdX，然后按p打印该设备的分区表。

dd 逐位进行复制，它会生成一个可证明合法性的图像，因此任何可恢复的文件都会存在。

我发现在 Windows 上安装映像的最佳工具之一是 WinHex，它允许您像普通磁盘一样浏览，并且具有一些数据恢复功能。但是，GetDataBack (NTFS) 的恢复功能要好得多，它还可以访问映像文件。

答案2

我建议你做的最简单的事情就是使用分区，并从原始分区复制并粘贴到 USB 驱动器。

当您单击“应用”时，它应该进行 1：1 的复制并正常工作！

但是，对于您最初的问题，我并不是使用 dd 的专家，但我认为您需要......

sudo dd if=/dev/hd_ of=/mnt/hd__/image_name.dd

答案3

如果你想保留驱动器内容以供进一步取证检查，我建议EASEUS 磁盘复制，一款功能强大的免费软件，提供逐扇区磁盘/分区克隆无论您的操作系统是什么。

说到法医，没有什么比六、WinHex，1 年个人许可证也相当合理（39.41 欧元）。

因为它是一个 NTFS 分区，所以没有理由不能在 Windows 中安装它，但是，我不建议这样做，因为 Windows 可能会将信息写入驱动器，这可能会使法医检查更加困难，请改用 BartPE CD/USB 棒中的 WinHex 以避免任何写入。

答案4

我要指出的是，有专门用于取证的 livecd，例如麻利以及法医 DD 变体，例如 DFCLDD。不要忘记进行校验。至于方法，我相信 mandia 和 procise 写了一本好书，涵盖了大部分过程。

os x 应该使用 loop 命令挂载映像。Windows 需要额外的软件-想到了文件磁盘但可能还有更简单的替代方案

相关内容