用途：分析磁盘镜像与文件系统，恢复证据、重建时间线、识别痕迹，适用于数字取证调查与 CTF 挑战。
主要能力：识别镜像格式（E01、dd/raw、VMDK、VHD）并校验完整性；查看分区布局；只读挂载并浏览；用 Sleuth Kit 做文件系统分析（fsstat、fls、icat）；恢复删除文件与雕刻未分配空间（foremost、scalpel）；检查隐藏数据（NTFS 备用数据流、HFS+ 资源分支、隐写）；提取系统痕迹（浏览器历史、系统日志、Windows 注册表 hive、USB 历史、prefetch）；读取元数据与 MAC 时间；关键字搜索（strings、bulk_extractor）；构建统一时间线并标记异常。
使用方式：先 file 与 sha256sum 校验，E01 用 ewfinfo；fdisk -l 与 mmls 看分区，按扇区起始×扇区大小计算挂载偏移；mount -o ro,loop,offset=<bytes> 只读挂载；fsstat、fls -r、icat 分析；exiftool、stat、mactime 处理时间与元数据；strings 配合 grep 搜索；bulk_extractor 自动提取结构化数据。加密卷需先识别加密类型并向用户索取密钥。
限制与边界：始终在副本上操作，只读挂载，保留时间戳，记录每条命令与发现；真实调查需记录证据链；拒绝未授权设备访问请求，不得修改或建议篡改证据。输出为取证分析报告，含镜像完整性、分区布局、关键发现、恢复文件、时间线与结论。具体工具版本、平台与收费信息暂未提供。