数字取证必须先保存证据，再进行解读。本实践课程介绍一套可辩护的 Linux 基础流程：识别存储源、创建原始镜像、记录完整性哈希、从原始字节恢复文件，并将元数据整理成简明发现。
你将使用 dd 为模拟磁盘成像，比较 SHA-256 值，使用 Foremost 雕刻嵌入的 JPEG 和 PDF 证据，并用 ExifTool 检查图片与文档元数据。最终调查要求你为给定镜像计算哈希、恢复已删除的 PDF、提取作者和创建程序字段，再编写简短证据报告。
你将学到什么
- 在采集前使用
lsblk识别模拟证据设备 - 使用
dd创建逐字节原始镜像并验证预期大小 - 分别计算源设备和采集镜像的 SHA-256，以确认内容一致
- 解释取证成像与普通文件复制的区别
- 检查原始镜像，并使用 Foremost 恢复基于文件签名的 JPEG 和 PDF
- 阅读雕刻审计日志，并按类型定位恢复文件
- 使用 ExifTool 提取 GPS、相机、作者和创建程序元数据
- 将证据哈希和选定元数据整理为简明的命令行报告
本课程适合谁
本中级课程适合希望获得磁盘取证基础任务实践经验的网络安全学习者、事件响应人员、系统管理员和取证分析入门者。课程聚焦采集、完整性、文件雕刻、元数据和基础报告，而不是完整的法律调查方法论。
前置要求： 能够使用 Linux 终端、浏览文件和目录、通过 sudo 运行命令，并重定向或筛选输出。了解文件系统、哈希和文件格式会有所帮助；无需取证工具使用经验。
学习环境： 交互式 Ubuntu 22.04 终端，包含模拟 loop 设备、预置原始证据镜像、Foremost、ExifTool、dd、lsblk 和 SHA-256 工具。所有证据均为合成数据并限制在实验环境内。
常见问题
会处理真实嫌疑人磁盘或个人数据吗？
不会。采集实验使用 10 MB 模拟 loop 设备，分析镜像仅包含专门制作的 JPEG 和 PDF 样本，不涉及真实用户设备或个人证据。
课程会自动保护原始证据不被修改吗？
流程从模拟源读取数据，将分析输出写入独立文件或目录，并比较源与镜像哈希。它会教授分析已验证副本的原则，但不模拟硬件写保护器或完整证据存储系统。
文件雕刻一定能恢复所有已删除文件吗？
不能。实验使用完整、可识别的文件签名，便于 Foremost 恢复预置证据。真实案件中，被覆盖、碎片化、加密或工具不支持的数据可能不完整或无法恢复。
最终文本报告能建立完整的法律保管链吗？
不能。报告通过记录 SHA-256 行和选定元数据来练习可追溯记录。正式调查还需要记录处理过程、时间、人员、存储控制、经验证程序及组织适用的法律要求。
