用途：在 Linux 取证工作站上对可疑硬盘、USB 设备或存储卡创建逐位（bit-for-bit）取证副本，用于调查、事件响应或法律程序，并在分析前保留原始证据。
主要能力：使用 dd 或增强版 dcfldd 进行原始镜像采集；支持 SHA-256/MD5 哈希校验、分卷输出、错误日志与验证回读；可配合硬件或软件写保护（如 blockdev --setro）防止写入源盘；支持压缩镜像与远程网络采集。
必要用法：先识别设备（lsblk、fdisk -l），启用写保护并记录源盘信息（hdparm、smartctl），再执行采集。dd 示例：dd if=/dev/sdb of=evidence.dd bs=4096 conv=noerror,sync status=progress。dcfldd 示例：dcfldd if=/dev/sdb of=evidence.dd hash=sha256,md5 hashlog=hashes.txt bs=4096 conv=noerror,sync。采集后对源盘与镜像分别计算哈希并比对，确认一致。
适用场景：可疑笔记本硬盘、U 盘、内存卡取证；远程通过 ssh 管道采集；故障盘先用 ddrescue 恢复可读扇区再用 dd 补零。
限制：需 root/sudo 权限与足够容量的目标盘；写保护器或软件写保护为必要前提；dd 遇读错误需 conv=noerror,sync 保持偏移；哈希不匹配则证据不可用；具体工具版本、耗时与错误数依实际环境而定，资料未提供固定值。