Windows系统证据收集分析技术

• 作者: 谭安芬
• 来源期刊: 中国工程物理研究院科技年报
• 学科: 工学
• 关键词: WINDOWS系统 证据收集 技术 文件压缩 原始数据 比特流 鉴定 读操作
• 年，卷（期）: 2006,（1）
• 页码范围: 398-399
• 页数: 2页
• 分类号: TP316.7

摘要

鉴定复件是包含每个比特源信息的文件，采用原始的比特流格式。5GB的硬盘将产生5GB的鉴定复件。除非读取原始数据时发生错误，否则文件内不会有多余数据。如果对原始数据进行读操作时发生错误，则在产生了坏数据的地方放置占位符。复制完成后可以将鉴定文件压缩。