Diskgenius做题使用
只对取证中常用的使用进行说明(文件恢复,可以关注三级标题)
以新创建的虚拟磁盘为例
恢复文件
磁盘——打开虚拟磁盘文件,如果没有找到文件请自己把选择的文件 格式修改为All Files(*.*)
,加载好之后点击到新加卷就可以看到文件(根目录)
由于格式化后的文件恢复与文件正常删除后的恢复过程不同。
我们点击上方的文件恢复,可以对该盘进行文件恢复,您可以在高级选择里选择要恢复的文件类型,默认全选,如果确认文件是删除的,在选择时需要勾选“恢复已删除的文件”。如果在删除之前的正常目录中找不到删除过的文件,就可以根据文件扩展名在“所有类型”里面找一下。有的情况下就算是刚刚删除的文件也可能无法进行恢复,有可能是用户二次操作时破坏了重要信息。
恢复结果如下:
过滤
在文件上面能看到红色的垃圾桶图标,代表文件或文件夹是删除的;还有一种绿色的垃圾桶图标,代表该文件夹中带有被删除的文件或文件夹。
当文件过多时,想寻找某一类文件,您还可以通过浏览文件下方的过滤栏进行过滤。
属性含义
对于属性一栏的字母,描述如下:
在恢复文件的状态下,文件列表中的“属性”栏将给已删除文件增加两个标记“D”和“X”。“D”表示这是一个已删除的文件。“X”表示这个文件的数据可能已被部分或全部覆盖,文件数据完全恢复的可能性较小。
剩下的内容我们以下面一个内存镜像为例,更贴合做题。
以某内存镜像为例
该内存镜像来源于本地的一个虚拟机快照,使用相同的方法进行加载并恢复。
恢复类型
注意到正常识别出几个分区、以及将找到的文件进行了文件类型分类,方便进一步寻找内容,此外还有很多个分区以识别,实际上里面都是孤立的文件。
对于不能确定归属的文件及文件夹,程序将它们统一放到一个叫做“孤立的文件”的内存文件夹中。如果在原位置找不到要恢复的文件,可以尝试在“孤立的文件”文件 夹中查找文件。
对于恢复文件的操作很方便,只需要右键需要勾选中需要恢复的文件,再按下右键选择“复制到指定文件夹”或者“复制到桌面”等即可,为防止破坏当前恢复的磁盘文件,该软件也做出了禁止恢复到当前分区的操作。由于该软件为专业版,因此再大的文件也能够导出,不必担心限制大小的问题。
保存恢复进度
咱们做题或者取证的时候,由于磁盘太大,扫描一次时间太长,通常来说这些磁盘在扫描之后就会自动保存恢复进度。但是有的磁盘可能在关闭diskgenius后再次打开恢复是不会保存恢复进度的,因此这个时候就需要恢复进度。可以点击工具——保存文件恢复进度 进行保存(.dgrp格式)
想加载时,就在恢复时点击“加载扫描进度”
恢复指定类型文件
有的时候由于不想恢复太多类型文件,只想恢 复指定类型例如png,可以通过工具——恢复指定类型文件 进行恢复
首先选中加载的虚拟磁盘,然后点击恢复指定的类型文件
这里点击选择文件类型进行选择,diskgenius提供了约100种可以恢复的类型。
搜索完毕后,被搜索到的文件按文件类型分类,每种文件类型有一个或多个以该文件类型名命名的文件夹,每个文件夹中的文件数最大为 1000。以此模式恢复会丢失文件名,名称是以序号进行命名的,可以自己根据大小来区分是否有需要的文件。
bitlocker
新版本的diskgenius提供了解密bitlocker功能,博客中提供的5.1.1貌似暂无这个功能,需要用户自行到52pojie或其他网站进行下载。
DiskGenius 能够自动地识别 BitLocker 加密分区;识别 BitLocker 加密分区后,DiskGenius 可以通过密码、密钥或 BEK 文件,解锁加密分区;BitLocker 加密分区解锁后,就可以像操作普通分区一样,用 DiskGenius 软件对 BitLocker 加密分区执行各种操作。
对于加密或解密过程意外中断的 BitLocker 分区,使用 DiskGenius 解锁时还可以指定加密扇区范围。点击“设置”按钮,即可设置 BitLocker 分区加密扇区区间范围。
可以通过工具——bitlocker管理进行解密操作
题外功能
清理空闲空间
清除分区空闲空间并不会对分区现有数据产生影响,如果想将整个分区或是硬盘进行清零,则需要使用清除扇区数据功能。
可以指定写入的字节内容。
重建 MBR
如果 MBR 遭到破坏,或者需要清除主引导记录中的引导程序。可以点击磁盘——重建主引导记录 来重建MBR
查看硬盘 S.M.A.R.T.信息
SMART信息是Self-Monitoring Analysis and Reporting Technology。指的是自检分析及报告,点击磁盘——查看S.M.A.R.T信息即可
坏道检测与修复
垃圾佬常用,在磁盘——坏道检测与修复 中,如果检测出坏道要尝试修复前,如果有重要数据一定要记得备份,因为坏道修复会破坏坏道附近的数据,同时该软件的坏道修复并不能修复所有坏道。
重组RAID
工具——重组RAID
添加磁盘后选定RAID类型和块大小即可,其实这里推荐R-Studio进行重组,后续会讲解,R-Studio具有自动检测功能,非常好用。