2024年4月26日发(作者：)

DD镜像、E01镜像、AFF镜像

DD镜像：也称成原始格式(RAW Image)。DD镜像 的优点是兼容性强，

目前所有磁盘镜像和分析工具都支持DD格式。此外，由于没有压缩，镜像

速度较快。DD镜像最主要的问题就是非压缩格式，镜像文件与原始证据磁盘

容量完全一致。即便原始证据磁盘仅有很少的数据，也一样需要同样的磁盘

容量。DD镜像是对嫌疑硬盘进行位对位的复制方法，因此生成的镜像文件中

没有保存额外信息的空间。因此，例如硬盘序列号、调查员姓名、镜像地点

等信息必须保存在镜像文件之外的单独文件.TXT文件中。由于这些信息没有

被保存在镜像文件内部，就有可能出现丢失或与其他硬盘信息混淆的情况。

也就是说DD 镜像文件不包 含文件头和校验值。相关数据信息可以配合以

txt文本形式文件进行描述。

E01镜像：是法证分析工具EnCase的一个证据文件格式，较好地解决了

DD镜像的一些不足。EnCase以一系列特有的压缩片段格式保存证据文件。

每一个片段都可以在需要时被单独地调用并解压缩，因此可以实现随机地访

问镜像中的数据。Encase 证据文件中包含有三个组成部分：文件头、校验

值和数据块。这三部分组成了对于一个原始证据的描述，并可用于将证据文

件重新恢复至硬盘。E01格式最大的问题就是兼容性问题。由于EnCase格式

是非公开的、具有知识产权的商业软件镜像格式。

AFF镜像：针对E01和DD镜像文件的不足， AFFLIB公司于2006年推

出了开源的证据文件格式AFF格式（Advanced Forensics Format )。这种

格式是公开而且可扩展的。和EnCase证据文件格式相似，AFF也以压缩片段

的方式保存磁盘镜像，镜像文件经过压缩容量明显减小。和EnCase不同的

是，AFF 既可以将元数据保存在镜像文件内部，也同时允许元数据被单独保

存在一个文件中。一旦发生磁盘镜像文件破损的情况，AFF的内部连续性算

法也能够保证尽可能多地将破损的恢复镜像修复。 AFF 分段镜像可以被开

源工具zlib进行压缩，也可以保持未压缩状态。对AFF压缩格式可以节省

空间，但是创建时间较长，而且分析处理的速度较慢。具体采用压缩还是不

采用压缩，可以根据实际情况来决定。但是未压缩的AFF文件可以很容易地

再次压缩。