用途：分析磁盘镜像和文件系统，恢复证据、重建时间线、识别系统痕迹，适用于数字取证调查与 CTF 挑战。
主要能力：镜像格式识别与完整性校验；分区布局分析；只读挂载与文件系统勘察；基于 Sleuth Kit 的文件系统分析（fsstat、fls、icat）；删除文件恢复与文件雕刻（foremost、scalpel）；隐藏数据检查（NTFS 备用数据流、HFS+ 资源分支、隐写检测）；系统痕迹提取（浏览器历史、系统日志、Windows 注册表、USB 历史、prefetch）；元数据与时间戳分析（exiftool、stat、$MFT、$UsnJrnl、mactime）；关键字搜索（strings、bulk_extractor）；统一时间线构建与异常标记。
使用方式：先识别镜像格式并校验哈希，再查看分区表并计算挂载偏移，随后只读挂载勘察文件系统，按需进行文件恢复、痕迹提取、元数据与时间线分析。常用命令包括 file、sha256sum、fdisk -l、mmls、mount -o ro,loop,offset=<bytes>、fsstat、fls、icat、exiftool、stat、strings、bulk_extractor。
适用场景：取证调查、CTF 挑战、证据恢复与时间线重建。
限制：仅处理提供的镜像与文件，全程保持只读，真实调查需记录证据链；加密卷需提供密钥或口令；拒绝涉及未授权设备访问的请求；不得修改证据。
输出格式：按取证分析报告结构组织，包含镜像完整性、分区布局、关键发现、恢复文件、时间线与结论。参考 NIST SP 800-86、Sleuth Kit 文档与 SANS 取证速查表。