【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真

DD、E01系统镜像动态仿真

​ 理想滚烫,人生再无星河!—【suy999】

文章目录

  • DD、E01系统镜像动态仿真
  • 一、DD、E01系统镜像动态仿真
    • (一)使用到的软件
      • 1、FTK Imager (v4.5.0.3)
      • 2、VMware Workstation 15 Pro (v15.5.2)
    • (二)FTK Imager 挂载镜像
      • 1、选择 Imager Mounting
      • 2、选择系统镜像挂载
        • *"注意一"!!!
    • (三)VMware新建虚拟机
      • 1、新建虚拟机
      • 2、固件类型
        • *"注意二"!!!
      • 3、处理器、内存及其它配置
      • 4、磁盘类型选择“SATA”
        • *"注意三"!!!
      • 5、本地磁盘
        • *"注意四"!!!
      • 6、完成创建虚拟机
      • 7、打开虚拟机
      • 8、错误示范
        • *"注意五"!!!
      • 结尾

一、DD、E01系统镜像动态仿真


在电子取证分析过程中,我们经常遇到DD、E01等系统镜像,然而,并非所有工作者手边都有自动化取证软件,我们如何利用手上的资源,将镜像给仿真起来查看里面的数据?
本文以E01镜像为例(DD镜像相同),我们来通过简单的操作进行手动仿真,让镜像数据活起来!


(一)使用到的软件

1、FTK Imager (v4.5.0.3)

	FTK Imager “可写”模式挂载系统镜像为本地驱动器。
	FTK Imager官网链接:“https://accessdata.com/product-download/ftk-imager-version-4-5”。

2、VMware Workstation 15 Pro (v15.5.2)

	VM新建虚拟机仿真系统镜像。
	VM官网链接:“https://www.vmware.com/products/workstation-pro/workstation-pro-evaluation.html”。

(二)FTK Imager 挂载镜像

	主要使用FTK Imager“可写”模式,挂载系统镜像到本地驱动器!

1、选择 Imager Mounting

	路径:文件->Imager Mounting;

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第1张图片

2、选择系统镜像挂载

	1)选择需要挂载的镜像文件;
	2)选择"Block Device/Writable";
	3)点击"Mount";
	4)记住"驱动器号";

*“注意一”!!!

	1)特别强调第2步!一定要选择“可写”模式,否则镜像无法仿真起来!
	2)mount成功后,会在本地磁盘显示出新的分区,可以打开Windows资源管理器查看,以及默认在镜像位置新生成一个后缀为“.adcf”的镜像同名文件,用来存放可写模式下镜像被修改的数据。

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第2张图片

	镜像挂载前后对比!

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第3张图片

	挂载成功后,默认在镜像的位置下生成一个后缀为".adcf"的同镜像名文件,用来存放镜像虚拟写入的文件。

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第4张图片

(三)VMware新建虚拟机

1、新建虚拟机

1)新建虚拟机:
	创建新的虚拟机->“自定义(高级)”->下一步,虚拟机硬件兼容性默认即可!
2)稍后安装操作系统:
	后面会用到FTK Imager挂载起来的镜像”	
3)选择对应的镜像系统
4)虚拟机保存位置

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第5张图片

	选择对应操作系统;填写虚拟机名称、虚拟机保存的位置,默认保存在C盘,建议自定义保存在其它容量大的分区里面。

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第6张图片

如果不清楚镜像类型
	1、看 FTK Imager 挂载起来的分区,在“驱动器”里面可以看到“分区”的文件系统类型,根据文件判断该挂载的镜像就为“Windows”;
	2、磁盘管理里面看类型。

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第7张图片

2、固件类型

*“注意二”!!!

	这个很重要!选择错误,系统无法正确引导启动。
	Windows配置方面,旧系统统一般选择BIOS,现在多数电脑都是UEFI,具体看挂载起来的系统镜像。

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第8张图片

3、处理器、内存及其它配置

	有条件的建议配置高一些,方便运行虚拟机。处理器和内存分配太小了会卡,有时候镜像数据量大还不一定能运行起来。

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第9张图片

4、磁盘类型选择“SATA”

*“注意三”!!!

	磁盘类型一样看所选镜像,这里测试了选择“SATA、SCSI”都可以启动成功,选“NVMe”不行,猜测镜像文件非NVMe固态硬盘所做。

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第10张图片

5、本地磁盘

*“注意四”!!!

	选择“使用物理磁盘”,通常第一次选择,点击下一步会请求以管理员权限运行,需要允许!然后设备选择前面 FTK Imager 挂载起来的对应驱动器号,磁盘默认选择使用整个磁盘即可。

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第11张图片

6、完成创建虚拟机

	到这里直接下一步即可完成虚拟机的创建了。整体上需要注意的几个点,细心就行了。

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第12张图片

7、打开虚拟机

	前面操作没问题的话,系统镜像就正常被启动起来了。

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第13张图片

8、错误示范

*“注意五”!!!

	看分区类型,如果显示EFI,固件类型只能选择“UEFI”,不能选择“BIOS”!!!否则出现以下报错,而且无法进入系统!!!

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第14张图片

	引导选择错误后,选择忽略,还是无法进入系统!

【电子取证:FTK Imager 篇】DD、E01系统镜像动态仿真_第15张图片

结尾

	在这里还是多说几句,经过测试发现 FTK Imager 新版本在挂载镜像的时候不是很稳定,程序容易崩掉!工作中发现v3版本的较稳定。
名称 时间
最后编辑日期: 2020 年 10 月 26 日

你可能感兴趣的:(电子取证,镜像仿真,操作系统,windows,10)