https://dfirdd.cn蘇小沐电子取证Halo v2.24.2zh-cnhttps://dfirdd.cn/upload/TX-DFIRSXM.pnghttps://dfirdd.cnMon, 11 May 2026 16:37:45 GMThttps://dfirdd.cn/archives/ni-xiang-fen-xi-pian-apkni-xiang-tuo-ke-guo-cheng【逆向分析篇】APK逆向脱壳过程 简单写下Android应用（APK）的逆向脱壳过程-–【蘇小沐】 （一）Apk的文件结构 App和Apk的区别，App是应用程序（Application）的缩写，包含Apk；而Apk是Android应用程序包（Android Application Package）]]>/archives/ni-xiang-fen-xi-pian-apkni-xiang-tuo-ke-guo-cheng蘇小沐Android取证Sun, 10 May 2026 12:00:00 GMThttps://dfirdd.cn/archives/SF一、蘇小沐电子取证司法鉴定库 1、]]>/archives/SF蘇小沐Sat, 9 May 2026 15:29:38 GMThttps://dfirdd.cn/archives/shu-zi-qu-zheng-pian-autopsyshu-zi-qu-zheng-ruan-jian-de-xia-zai-an-zhuang-yu-you-hua-pei-zhi【数字取证篇】Autopsy数字取证软件的下载安装与优化配置 Autopsy是一款免费开源的优秀数字取证（Digital Forensics）软件，提供与其他数字取证工具相同的核心功能，并提供其他商业工具不提供的其他基本功能，例如网络工件分析和注册表分析。—【蘇小沐】]]>/archives/shu-zi-qu-zheng-pian-autopsyshu-zi-qu-zheng-ruan-jian-de-xia-zai-an-zhuang-yu-you-hua-pei-zhi蘇小沐计算机取证Sat, 9 May 2026 08:04:53 GMThttps://dfirdd.cn/archives/shu-zi-qu-zheng-pian-autopsyan-li-fen-xi-bao-gao-dao-chu【数字取证篇】Autopsy案例分析报告导出 Autopsy案例分析报告导出，以本地E01镜像做实验测试。—【蘇小沐】 系统环境]]>/archives/shu-zi-qu-zheng-pian-autopsyan-li-fen-xi-bao-gao-dao-chu蘇小沐计算机取证Sat, 9 May 2026 08:02:41 GMThttps://dfirdd.cn/archives/shu-zi-qu-zheng-pian-autopsyan-li-chuang-jian-yu-jing-xiang-fen-xi-xiang-xi-jiao-cheng【数字取证篇】Autopsy案例创建与镜像分析详细教程 Autopsy是一款非常优秀且功能强大的免费开源数字取证分析工具—【蘇小沐】 以本地E01镜像做实验测试。]]>/archives/shu-zi-qu-zheng-pian-autopsyan-li-chuang-jian-yu-jing-xiang-fen-xi-xiang-xi-jiao-cheng蘇小沐计算机取证Sat, 9 May 2026 08:00:30 GMThttps://dfirdd.cn/archives/%E3%80%90hash%E7%AF%87%E3%80%91%E5%93%88%E5%B8%8C%E8%AE%A1%E7%AE%97%E7%A5%9E%E5%99%A8-hashmyfiles%E8%BD%AF%E4%BB%B6【Hash篇】哈希计算神器-HashMyFiles软件 可直接拖放、复制粘贴、添加文件或文件夹的方式来批量计算Hash，操作简便、体积小、免费。这篇来介绍他的汉化和其它一些功能设置—【蘇小沐】 （一）HashMyFiles特点 1、绿色便携 不需要任何安装过程或其它DLL文件，只需运行可执行文件（H]]>/archives/%E3%80%90hash%E7%AF%87%E3%80%91%E5%93%88%E5%B8%8C%E8%AE%A1%E7%AE%97%E7%A5%9E%E5%99%A8-hashmyfiles%E8%BD%AF%E4%BB%B6蘇小沐Sat, 9 May 2026 07:58:19 GMThttps://dfirdd.cn/archives/%E3%80%90hash%E7%AF%87%E3%80%91hashtab%E4%B8%80%E6%AC%BE%E5%8F%AF%E6%89%A9%E5%B1%95%E8%B5%84%E6%BA%90%E7%AE%A1%E7%90%86%E5%99%A8%E7%9A%84%E5%93%88%E5%B8%8C%E6%A0%A1%E9%AA%8C%E8%BD%AF%E4%BB%B6【Hash篇】HashTab一款可扩展资源管理器的哈希校验软件 HashTab是一款非常优秀的Windows资源管理器扩展程序，它在资源管理器的属性窗口中添加了"文件校验"的标签，可以非常方便地校验文件的CRC32、MD5、SHA1等校验值，另外还可以迅速与其他文件进行哈希值比对！—【蘇小沐】 1、]]>/archives/%E3%80%90hash%E7%AF%87%E3%80%91hashtab%E4%B8%80%E6%AC%BE%E5%8F%AF%E6%89%A9%E5%B1%95%E8%B5%84%E6%BA%90%E7%AE%A1%E7%90%86%E5%99%A8%E7%9A%84%E5%93%88%E5%B8%8C%E6%A0%A1%E9%AA%8C%E8%BD%AF%E4%BB%B6蘇小沐Sat, 9 May 2026 07:56:08 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91%E5%B8%B8%E8%A7%81%E9%95%9C%E5%83%8F%E6%96%87%E4%BB%B6%E7%B1%BB%E5%9E%8B【镜像取证篇】常见镜像文件类型 人生若都如镜像—【蘇小沐】 常见镜像文件类型 序号 镜像后缀名 镜像文件类型 备注 1 .aff 高级取证格式文件 AFF 2 .dd]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91%E5%B8%B8%E8%A7%81%E9%95%9C%E5%83%8F%E6%96%87%E4%BB%B6%E7%B1%BB%E5%9E%8B蘇小沐镜像取证Sat, 9 May 2026 07:06:45 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E7%AF%87%E3%80%91dd%E3%80%81e01%E7%B3%BB%E7%BB%9F%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E6%95%99%E7%A8%8B【镜像仿真篇】DD、E01系统镜像仿真教程 理想滚烫，人生再无星河！ 在电子取证分析过程中，我们经常遇到DD、E01等系统镜像，然而，并非所有工作者手边都有自动化取证软件。我们如何利用手上的资源，将镜像给仿真起来查看里面的数据？本文以E01镜像为例（DD镜像相同），我们来通过简单的操作进行手动仿真，]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E7%AF%87%E3%80%91dd%E3%80%81e01%E7%B3%BB%E7%BB%9F%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E6%95%99%E7%A8%8B蘇小沐镜像仿真Sat, 9 May 2026 07:04:34 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91%E4%BB%BF%E7%9C%9F%E7%A2%8E%E7%89%87-%E8%AE%B0%E4%B8%80%E6%AC%A1%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E5%A4%B1%E8%B4%A5%E7%9A%84%E5%A4%8D%E7%9B%98%E8%BF%87%E7%A8%8B【镜像取证篇】仿真碎片-记一次镜像仿真失败的复盘过程 这个是很久以前的一个镜像实验，当时仿真可以看到Windows的启动界面，但却一直无法正常进入系统，不断的尝试修复，都是显示错误，最后把类型改为IDE后，成功仿真进入系统—【蘇小沐】 1、无法仿真成功 Windows建议用专业版，功]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91%E4%BB%BF%E7%9C%9F%E7%A2%8E%E7%89%87-%E8%AE%B0%E4%B8%80%E6%AC%A1%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E5%A4%B1%E8%B4%A5%E7%9A%84%E5%A4%8D%E7%9B%98%E8%BF%87%E7%A8%8B蘇小沐镜像仿真Sat, 9 May 2026 07:04:34 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E7%AF%87%E3%80%91%E7%A3%81%E7%9B%98%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E5%B8%B8%E8%A7%81%E9%94%99%E8%AF%AF【镜像仿真篇】磁盘镜像仿真常见错误 记系统镜像仿真常见错误集-–【蘇小沐】 实验环境 2023AFS39.E01（Windows11系统镜像） Arsenal Image Mounter，[v3.10.262] Vmware Workstation 17 Pro，[v17.5.1] Windows]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E7%AF%87%E3%80%91%E7%A3%81%E7%9B%98%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E5%B8%B8%E8%A7%81%E9%94%99%E8%AF%AF蘇小沐镜像仿真Sat, 9 May 2026 07:02:23 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91%E5%90%AC%E8%AF%B4%E4%BD%A0%E8%BF%98%E5%88%86%E4%B8%8D%E6%B8%85%E9%95%9C%E5%83%8F%E7%9A%84%E6%BA%90%E7%9B%98%E5%93%88%E5%B8%8C%E5%92%8C%E9%95%9C%E5%83%8F%E6%96%87%E4%BB%B6%E7%9A%84%E5%93%88%E5%B8%8C%EF%BC%9F【镜像取证篇】听说你还分不清镜像的源盘哈希和镜像文件的哈希？ 听说你还分不清镜像的源盘哈希和镜像文件的哈希？镜像的两层防护，镜像的源盘哈希、镜像文件的哈希傻傻分不清—【蘇小沐】 实验环境 Windows 11 专业工作站版，[24H2（26100.2605）]</]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91%E5%90%AC%E8%AF%B4%E4%BD%A0%E8%BF%98%E5%88%86%E4%B8%8D%E6%B8%85%E9%95%9C%E5%83%8F%E7%9A%84%E6%BA%90%E7%9B%98%E5%93%88%E5%B8%8C%E5%92%8C%E9%95%9C%E5%83%8F%E6%96%87%E4%BB%B6%E7%9A%84%E5%93%88%E5%B8%8C%EF%BC%9F蘇小沐镜像取证Sat, 9 May 2026 07:00:12 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91vmware%E8%99%9A%E6%8B%9F%E6%9C%BA%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6%E5%8F%96%E8%AF%81【镜像取证篇】VMware虚拟机配置文件取证 虚拟机取证中，通常主要关注.log、.vmdk、.vmem三个文件，里面包含虚拟机的大部分资料信息—【蘇小沐】 实验环境 VMware® Workstation 16 Pro（V16.1.2 build-17966106） Microsoft windo]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91vmware%E8%99%9A%E6%8B%9F%E6%9C%BA%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6%E5%8F%96%E8%AF%81蘇小沐镜像取证Sat, 9 May 2026 06:58:01 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91dd%E5%92%8Ce01%E9%95%9C%E5%83%8F%E6%A0%BC%E5%BC%8F%E5%8C%BA%E5%88%AB%EF%BC%88%E7%AE%80%EF%BC%89【镜像取证篇】DD和E01镜像格式区别（简） 简单总结下—【蘇小沐】 实验环境 Windows11专业工作站版，22H2（22621.1555）； FTK Imanger，4.7.1.2； 镜像，NTFS格式的2GB空盘；]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91dd%E5%92%8Ce01%E9%95%9C%E5%83%8F%E6%A0%BC%E5%BC%8F%E5%8C%BA%E5%88%AB%EF%BC%88%E7%AE%80%EF%BC%89蘇小沐镜像取证Sat, 9 May 2026 06:55:49 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E7%AF%87%E3%80%91windowsserver%E6%9C%8D%E5%8A%A1%E5%99%A8%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F【镜像仿真篇】WindowsServer服务器镜像仿真 介绍镜像转换、vmdk镜像仿真注意的一些事项—【蘇小沐】 （一）qemu-img镜像转换工具 qemu-img(v2.3.0.0)镜像转换工具，对应有Windows和Linx版本，通过“命令”将raw、qcow2等镜像转换成vmdk文件。 【q]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E7%AF%87%E3%80%91windowsserver%E6%9C%8D%E5%8A%A1%E5%99%A8%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F蘇小沐镜像仿真Sat, 9 May 2026 06:53:38 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91qemu-img%E7%A3%81%E7%9B%98%E9%95%9C%E5%83%8F%E8%BD%AC%E6%8D%A2%E7%A5%9E%E5%99%A8【镜像取证篇】qemu-img磁盘镜像转换神器 转换磁盘镜像格式，便于仿真搭建–【蘇小沐】 （一）qemu-img：磁盘镜像格式转换工具 1、功能简介 qemu]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91qemu-img%E7%A3%81%E7%9B%98%E9%95%9C%E5%83%8F%E8%BD%AC%E6%8D%A2%E7%A5%9E%E5%99%A8蘇小沐镜像仿真Sat, 9 May 2026 06:51:27 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91gho%E7%B3%BB%E7%BB%9F%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E8%BF%98%E5%8E%9F%E6%95%99%E7%A8%8B【镜像取证篇】GHO系统镜像仿真还原教程 简要记录下GHO系统镜像还原及系统仿真的过程—【蘇小沐】 实验环境 Windows server 2012的GHO系统镜像 VMware Workstation 17 Pro [v17.5.2] Windows11专业工作站版，[24H2，26100.260]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91gho%E7%B3%BB%E7%BB%9F%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E8%BF%98%E5%8E%9F%E6%95%99%E7%A8%8B蘇小沐镜像仿真Sat, 9 May 2026 06:49:16 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91dd%E7%B3%BB%E7%BB%9F%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E9%97%AE%E9%A2%98%E7%9A%84%E4%B8%80%E4%BA%9B%E8%A1%A5%E5%85%85%E8%AF%B4%E6%98%8E【镜像取证篇】DD系统镜像仿真问题的一些补充说明 系统千千万，环境占一半，遇到问题建议多重新挂载镜像，多尝试，站在岸上永远学不会游泳—【蘇小沐】 Windows建议用专业版，功能全。 实验环境 Windows11专业版，[21H2（22000.708）] VMware Workstation 16]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81%E7%AF%87%E3%80%91dd%E7%B3%BB%E7%BB%9F%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E9%97%AE%E9%A2%98%E7%9A%84%E4%B8%80%E4%BA%9B%E8%A1%A5%E5%85%85%E8%AF%B4%E6%98%8E蘇小沐镜像仿真Sat, 9 May 2026 06:49:16 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E7%AF%87%E3%80%91linux%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E3%80%81e01%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81【镜像仿真篇】Linux镜像仿真、E01镜像取证 主要是Linux镜像仿真（DD、E01仿真相同），还介绍了特别特殊的一个情况，就是在虚拟磁盘里的镜像再挂载本地，出现的“磁盘占用”，导致无法成功仿真的问题！—【蘇小沐】 前篇"]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E7%AF%87%E3%80%91linux%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E3%80%81e01%E9%95%9C%E5%83%8F%E5%8F%96%E8%AF%81蘇小沐镜像仿真Sat, 9 May 2026 06:47:05 GMThttps://dfirdd.cn/archives/%E3%80%90%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E7%AF%87%E3%80%91esxi%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E6%95%99%E7%A8%8B【镜像仿真篇】ESXi镜像仿真教程 我以为不会再有使用FTK Imager低版本的时候，毕竟Arsenal Image Mounte是我目前遇到的最强镜像挂载软件，直到这次遇到了这个ESXi镜像仿真的时候一直报错-–【蘇小沐】 实验环境 FTK Imanger ，[v3.1.1.8] VMware]]>/archives/%E3%80%90%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E7%AF%87%E3%80%91esxi%E9%95%9C%E5%83%8F%E4%BB%BF%E7%9C%9F%E6%95%99%E7%A8%8B蘇小沐镜像仿真Sat, 9 May 2026 06:47:05 GMT