用途：对已获取的磁盘镜像（.E01、.dd/.raw、.aff4、.vmdk、.vhdx）做死盘取证，适用于恢复删除文件、重建被擦除或重格式化卷的内容、构建文件系统时间线与超级时间线、从未分配空间雕刻文件、离线挖掘注册表与浏览器等痕迹，以及验证反取证行为。不适用于内存镜像、活动主机排查或恶意样本引爆，这些应交给对应技能。
主要能力：获取与完整性校验（ewfacquire、dd、ewfverify、md5sum/sha256sum）；以只读方式暴露镜像（ewfmount、xmount）；分区与挂载（mmls、fdisk、mount -o ro,noexec,norecover,loop,offset=…，LVM/LUKS/BitLocker/APFS 处理）；TSK 工作流（fls、istat、icat、blkls、tsk_recover）；时间线（fls+mactime、log2timeline.py+psort.py）；恢复与雕刻（photorec、foremost、scalpel、bulk_extractor）；按操作系统提取注册表、日志、plist 等工件；反取证与隐藏数据检查（时间戳篡改、擦除痕迹、slack、ADS、加密容器）；大规模字符串与 YARA 搜索。
使用方式：先获取并记录哈希，之后每次复制都重新校验；用 ewfmount 或 xmount 暴露为原始设备；用 mmls 确定分区起始扇区，偏移按 start_sector*512 计算后只读挂载；TSK 命令需带 -o 偏移；先做文件系统时间线，再按需生成超级时间线；恢复与雕刻并用；最后输出 UTC 时间线、证据登记表并说明缺口。
限制：没有 BitLocker 恢复密钥或 LUKS 口令则无法打开加密卷；雕刻文件无时间戳与文件名，需按内容与位置关联；时间戳中 $STANDARD_INFORMATION 可被伪造，应参考 $FILE_NAME、$UsnJrnl 与 LastWrite；挂载必须只读并避免日志重放，否则会改动证据。具体工具版本、平台支持与收费情况暂未提供。