用途：在调查、事件响应或法律取证中，对可疑磁盘、U盘、存储卡或物理驱动器创建逐位（bit-for-bit）取证副本，并在分析前保留完整证据。核心原则是写保护、哈希校验和保管链记录。
主要能力：dd 提供基础原始镜像复制；dcfldd 是增强取证版本，支持内置 MD5/SHA-256 哈希、哈希窗口、哈希日志、错误日志、镜像分卷和验证回读。配合 sha256sum、blockdev、hdparm、smartctl、lsblk 完成识别、只读、校验与记录。
使用方式：先识别设备（lsblk -o NAME,SIZE,TYPE,MOUNTPOINT,MODEL），用 blockdev --setro 或硬件写阻断器保护源盘，建立案件目录并预哈希源设备。基础采集示例：dd if=/dev/sdb of=evidence.dd bs=4096 conv=noerror,sync status=progress。取证采集示例：dcfldd if=/dev/sdb of=evidence.dd hash=sha256,md5 hashwindow=1G hashlog=hashes.txt bs=4096 conv=noerror,sync errlog=errors.log。可用 split=2G splitformat=aa 分卷，或用 vf=... verifylog=... 进行验证。完成后对镜像与源分别做 SHA-256/MD5 比对以确认一致，并记录源盘信息、工具版本、块大小、写阻断方式、错误和哈希结果。
适用场景：可疑笔记本硬盘、被入侵工作站的 USB 镜像、网络远程采集、故障盘抢救后的补零采集等。
限制：未提供具体收费、价格、平台或效果信息。实际执行需 root/sudo 权限、足够大的目标存储和写阻断；dd 对坏道可能产生偏移，通常先用 ddrescue 抢救可读扇区；必须严格记录哈希与日志，否则证据完整性难以证明。