用途：对磁盘镜像（dd/E01）或介质做取证，包括删除文件恢复、时间线重建、可疑文件与残留数据定位，以及分区丢失后的分区表重建与文件抢救。不适用于内存取证、普通可写挂载使用，以及无密钥的加密卷。
主要能力：sleuthkit（fls/icat/tsk_recover/mmls/fsstat/blkls）做文件系统解析与删除恢复；testdisk/photorec 做分区修复与签名雕刻；dd/ewf-tools 做镜像获取；loop 只读挂载读取内容；autopsy 提供可选 GUI。
使用方式：先只读获取镜像并做 sha256 存证，用 mmls/fsstat 识别分区与文件系统，再用 fls/icat/tsk_recover 恢复删除文件，fls -m 配合 mactime 生成时间线，blkls 提取未分配空间中的残留数据。安装命令如 apt install sleuthkit、apt install testdisk、apt install ewf-tools 等按资料保留。
限制：删除恢复不保证成功（SSD TRIM、覆写）；photorec 雕刻结果无文件名且可能误报；时间戳可能被伪造，需与其他来源交叉验证；加密卷无密钥时只能做非内容取证；分析必须只读，避免写操作污染证据。