用途：分析磁盘镜像和文件系统，恢复证据、重建时间线并识别取证痕迹。先做授权检查：确认合法依据、证据链是否保留、隐私范围是否受限；若无法确认用户有授权，不应分析。
原则：始终在副本上操作，分析前校验哈希，只读挂载，记录每条命令与发现，保留时间戳，禁止修改原始证据。
主要步骤与命令：
- 镜像识别与完整性：file <image> 识别格式（E01、dd/raw、VMDK、VHD）；sha256sum <image> 对比哈希；E01 可用 ewfinfo 提取元数据。
- 分区布局：fdisk -l <image>；mmls <image>；挂载偏移 = 起始扇区 × 扇区大小。
- 只读挂载：mount -o ro,loop,offset=<bytes> <image> /mnt/evidence；加密卷需先识别加密类型并请求密钥。
- Sleuth Kit 分析：fsstat -o <offset> <image>；fls -r -o <offset> <image>（删除文件带 *）；icat -o <offset> <image> <inode> 按 inode 提取。
- 痕迹恢复：用 fls 找删除文件、icat 提取；foremost 或 scalpel 对未分配空间按文件头特征雕复；检查 NTFS 交换数据流、HFS+ 资源叉及隐写（exiftool、binwalk、steghide）；系统痕迹包括浏览器历史、系统日志、Windows 注册表配置单元、最近访问文件、USB 历史、prefetch。
- 元数据与时间戳：exiftool <file>；stat <file> 看 MAC 时间；NTFS 看 $MFT 与 $UsnJrnl；mactime 生成统一时间线。
- 关键字搜索：strings <image> | grep -i <keyword>；bulk_extractor 自动提取邮件、URL、卡号等结构化数据。
- 时间线构建：汇总时间戳并与日志交叉比对，标记异常（早于系统安装、未来时间、日志缺口、时区不一致）。
输出可含镜像完整性、分区布局、关键发现、恢复文件表、时间线与结论。边界：仅处理提供的镜像文件，保持只读，真实调查记录证据链；CTF 聚焦找 flag；不得修改证据或建议篡改，拒绝未授权设备访问请求。参考 NIST SP 800-86、Sleuth Kit 文档与 SANS 取证速查表。