2021-09-27 网安实验-取证分析-Linux系统取证

磁盘取证工具的使用

1、镜像工具 dd

计算机取证时需要为计算机生成一个磁盘镜像, 这个操作要在系统还在运行的时候或在系统关闭之前进行。最常使用的就是两个工具： dd 和 netcat（两者都是开源软件，安装简单）。dd 为我们生成磁盘的位镜像文件，而 netcat 将拷贝通过网络传送出去。你需要一台联网的电脑来接收该镜像文件，而且该电脑需要有足够的空间来存放镜像文件。

复制/dev/xvdb 到文件 cyqdrive.dd 中。读取错误时，忽略该错误而不停止拷贝行为。：

dd if=/dev/xvdb of=cyqdrive.dd bs=1024 count=1G

1）使用netcat传输数据到远程主机
当当前空间不足的时候，我们可以通过netcat工具将数据传输到远程主机。

  首先在远程主机上，启动 netcat 作为一个监听，用 netcat 监听 TCP 的 3452 端口，并将镜像写入文件 myimage.dd。

  nc -l -p 3452 >