janderik/disk-imager
GitHub: janderik/disk-imager
disk-imager 是一款用 Python 编写的取证磁盘镜像工具，支持多种格式输出并内置哈希校验与证据链记录，解决数字取证中存储设备精确采集与数据完整性保障的问题。
Stars: 0 | Forks: 0
# disk-imager
[](https://www.python.org/downloads/)
[](LICENSE)
[]()
[]()
[](https://github.com/psf/black)
**取证磁盘镜像工具包，用于创建带有哈希校验的存储设备逐位副本。**
`disk-imager` 可以创建多种格式（E01、RAW、VHD）的取证磁盘镜像，并内置哈希校验以确保数据完整性。它支持损坏介质处理、压缩以及证据链记录。
## 功能
- **多种格式** - RAW (dd)、E01 (Expert Witness)、VHD、QCOW2
- **哈希校验** - 在镜像过程中计算 MD5、SHA-1、SHA-256
- **坏扇区处理** - 跳过、重试或对坏扇区进行零填充
- **压缩** - 针对 E01 和 VHD 格式的实时压缩
- **写入锁定** - 软件级写锁校验
- **证据记录** - 证据保管链记录
## 安装
```
git clone https://github.com/janderik/disk-imager.git
cd disk-imager
pip install -e .
```
## 用法
```
# 创建 RAW image
disk-imager create --source /dev/sdb --output evidence.raw --format raw
# 创建带压缩的 E01 image
disk-imager create --source /dev/sdb --output evidence.E01 --format e01 --compress
# 验证 image hash
disk-imager verify --image evidence.raw --hash abc123...
# 列出可用设备
disk-imager list-devices
# 将 image 恢复到设备
disk-imager restore --image evidence.raw --target /dev/sdc
```
## 磁盘镜像工作流
### 标准取证流程
1. 记录证据（照片、序列号）
2. 连接写锁
3. 创建带有哈希校验的取证镜像
4. 校验所创建镜像的哈希
5. 将原件存入证据柜
6. 在经过校验的副本上进行操作
### 镜像格式对比
| 格式 | 压缩 | 元数据 | 最大容量 | 工具支持 |
|--------|-------------|----------|----------|--------------|
| RAW (dd) | 无 | 无 | 无限制 | 通用 |
| E01 | 内置 | 案件信息 | 2TB | EnCase, FTK |
| VHD | 内置 | 有限 | 2TB | Hyper-V, VBox |
| QCOW2 | 内置 | 快照 | 无限制 | QEMU/KVM |
## 许可证
MIT 许可证 - 详见 [LICENSE](LICENSE)
标签：Python, Zenmap, 哈希校验, 数字取证, 数据完整性, 无后门, 磁盘镜像, 自动化脚本, 逆向工具