磁盘镜像制作与证据固定
产出的镜像就是后面所有分析的天花板。镜像阶段丢了数据、混进了写操作、或者哈希链断了，后面再精巧的结论都站不住。
知识空间
磁盘镜像与仿真
物理与逻辑采集、写保护接入、ddrescue 坏扇区策略、EWF/E01 容器、远程勘验与在线取证。
子知识
从下级知识节点继续浏览。
知识文档
该知识空间中已整理并公开的 6 篇文档。
只读挂载与安全接入
拿到镜像之后，最自然的想法是"挂载起来看看里面有什么"。这个想法在便利性上无可指摘，在证据安全上却极其危险——因为操作系统的挂载过程本身就会写盘。
远程勘验与在线取证
离线镜像是主战场，但有一类案子没有关机的那一刻：服务器还在跑、勒索还在加密、业务还在被入侵者登录。
虚拟机仿真
拿到可疑硬盘就"挂上跑起来看看"，是取证里最贵的错误。
证据文件格式与格式转换
同一个物理磁盘的逐位副本，可以被包装成十几种完全不同的文件。选错格式影响的是证据可用性：数据可能无法被检验方打开、压缩后无法证明原始哈希、或者存储开销直接压垮预算。
Windows Server 环境仿真
普通 PC 的仿真风险是"一个可疑程序跑起来了"。服务器仿真的风险是"半个企业内网醒过来了"。