Windows硬盤和內(nèi)存鏡像取證

在Windows系統(tǒng)上，有winhex等神器，可以對本地硬盤和物理內(nèi)存完成鏡像取證等工作，但如何對遠(yuǎn)程的Windows系統(tǒng)的硬盤和物理內(nèi)存數(shù)據(jù)進(jìn)行集中的鏡像取證呢？除了在本地鏡像為文件外，本文將介紹一種方法，將更方便的完成遠(yuǎn)程Windows硬盤和物理內(nèi)存的數(shù)據(jù)鏡像取證。

準(zhǔn)備工作

一臺被鏡像取證的電腦運行的Windows系統(tǒng)

一臺要被鏡像取證的電腦運行的Windows系統(tǒng)

兩臺電腦要能通過網(wǎng)絡(luò)通信，并且最好是有線千M網(wǎng)絡(luò)，因為被鏡像取證Windows系統(tǒng)的硬盤數(shù)據(jù)，是通過網(wǎng)絡(luò)傳輸?shù)饺∽C系統(tǒng)的虛擬磁盤上，所以網(wǎng)絡(luò)速度至關(guān)重要。

安裝軟件

在被鏡像取證的Windows系統(tǒng)上，下載RFSD并運行，RFSD是跨平臺的文件操作服務(wù)，通過該服務(wù)可實現(xiàn)讀取Windows硬盤數(shù)據(jù)。

RFSD主頁：http://ranfs.com/cn/?RFSD

在管理員權(quán)限的powershell執(zhí)行如下命令

$rfsd_dir="c:rfsd";Invoke-Expression(New-Object Net.WebClient).DownloadString("http://ranfs.com/pub/rfsd/all/get.ps1")

安裝完成，rfsd作為服務(wù)會自動運行，如果安裝了360等安全軟件，請允許相關(guān)權(quán)限請求。

在沒有powershell的系統(tǒng)，下載下面的壓縮包

地址：http://ranfs.com/pub/rfsd/windows/rfsd-windows-x86.zip

下載解壓后，請用管理員權(quán)限運行install.bat，至此被鏡像取證系統(tǒng)上的準(zhǔn)備工作完成。

---

在要鏡像取證的Windows系統(tǒng)上，安裝RFDK，RFDK是虛擬磁盤驅(qū)動器，可以把遠(yuǎn)程硬盤虛擬為本地磁盤。

RFDK主頁：http://ranfs.com/cn/?RFDK

下載地址：http://ranfs.com/pub/rfdk/windows/rfdk.zip

下載到本地解壓，執(zhí)行install.bat等待安裝完成，至此準(zhǔn)備工作完成。

更多的幫助見安裝包里的：rfdk-cn.pdf

使用rfdk-gui掛載磁盤和物理內(nèi)存

在Windows上運行rfdk-gui，新建客戶端連接如下圖：

假定RFSD運行的電腦Ip地址為192.168.63.130，點擊確定添加完成，這時主界面上會顯示當(dāng)前電腦，擁有的相關(guān)存儲設(shè)備列表。

雙擊紅圈.PhysicalDrive0欄目，會彈出掛載磁盤配置對話框，默認(rèn)只讀，確定后就完成了磁盤掛載。雙擊紅圈.PhysicalMemory欄目，完成物理內(nèi)存掛載。

注意：讀取物理內(nèi)存需要加載驅(qū)動，請允許RFSD加載驅(qū)動，否則可能會返回超時錯誤。請確保網(wǎng)絡(luò)正常，及RFSD正常運行，如果網(wǎng)絡(luò)斷了或RFSD異常關(guān)閉，虛擬磁盤將自動消失。

遇到不能解決的問題，請聯(lián)系：tech@ranfs.com, 或加QQ群：599829506。

總結(jié)

以上是生活随笔為你收集整理的windows没有磁盘_Windows硬盘和内存镜像取证的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。