2024年4月26日发(作者：)

DD镜像、E01镜像、AFF镜像

DD镜像：也称成原始格式(RAW Image)。DD镜像 的优点是兼容性强，目前所有磁

盘镜像和分析工具都支持DD格式。此外，由于没有压缩，镜像速度较快。DD镜像最主要

的问题就是非压缩格式，镜像文件与原始证据磁盘容量完全一致。即便原始证据磁盘仅有

很少的数据，也一样需要同样的磁盘容量。DD镜像是对嫌疑硬盘进行位对位的复制方法，

因此生成的镜像文件中没有保存额外信息的空间。因此，例如硬盘序列号、调查员姓名、

镜像地点等信息必须保存在镜像文件之外的单独文件.TXT文件中。由于这些信息没有被保

存在镜像文件内部，就有可能出现丢失或与其他硬盘信息混淆的情况。也就是说DD 镜像

文件不包 含文件头和校验值。相关数据信息可以配合以txt文本形式文件进行描述。

E01镜像：是法证分析工具EnCase的一个证据文件格式，较好地解决了DD镜像的

一些不足。EnCase以一系列特有的压缩片段格式保存证据文件。每一个片段都可以在需要

时被单独地调用并解压缩，因此可以实现随机地访问镜像中的数据。Encase 证据文件中包

含有三个组成部分：文件头、校验值和数据块。这三部分组成了对于一个原始证据的描述，

并可用于将证据文件重新恢复至硬盘。E01格式最大的问题就是兼容性问题。由于EnCase

格式是非公开的、具有知识产权的商业软件镜像格式。

AFF镜像：针对E01和DD镜像文件的不足， AFFLIB公司于2006年推出了开源的

证据文件格式AFF格式（Advanced Forensics Format )。这种格式是公开而且可扩展的。

和EnCase证据文件格式相似，AFF也以压缩片段的方式保存磁盘镜像，镜像文件经过压

缩容量明显减小。和EnCase不同的是，AFF 既可以将元数据保存在镜像文件内部，也同

时允许元数据被单独保存在一个文件中。一旦发生磁盘镜像文件破损的情况，AFF的内部

连续性算法也能够保证尽可能多地将破损的恢复镜像修复。 AFF 分段镜像可以被开源工

具zlib进行压缩，也可以保持未压缩状态。对AFF压缩格式可以节省空间，但是创建时间

较长，而且分析处理的速度较慢。具体采用压缩还是不采用压缩，可以根据实际情况来决

定。但是未压缩的AFF文件可以很容易地再次压缩。