使用 dd 进行取证镜像制作

# 简介

在数字取证领域，第一铁律就是永远不要在原始证据上进行分析。与原始存储设备交互可能会改变其中的数据，从而可能破坏关键证据，导致其在法庭上失去证据效力。

为了安全地分析嫌疑驱动器，取证调查人员会创建「取证镜像」——即原始存储介质的精确位对位副本。该镜像会捕获所有内容，包括隐藏文件、已删除数据以及未分配空间。

最后一点正是取证镜像与普通文件复制的区别所在。普通的文件复制仅保留操作系统当前能够识别的文件。而取证镜像则保留了原始存储内容，包括文件系统不再引用但可能仍包含证据的数据。

在本实验中，你将扮演一名数字取证调查员。你将学习如何识别目标驱动器，使用强大的 Linux `dd` 命令创建原始取证镜像，并利用加密哈希从数学层面证明你的副本与原始证据完全一致。