kali linux 中文文档 下载 App

Forensic Mode 取证模式的工作原理与操作规范

什么是 Forensic Mode

Kali Linux Live ISO 的启动菜单中有一个 "Live (forensic mode)" 选项——选择它启动后，Kali 会自动做两件事：

  1. 所有硬盘以只读方式挂载（如果挂载的话）
  2. 完全禁用自动挂载（Udev 规则被修改）

这两个行为的核心目标是：保证被取证主机的原始数据不被任何意外操作污染或修改。

为什么取证需要 Forensic Mode

在数字取证（Digital Forensics）领域，"被取证介质的完整性"是一切证据链的基础。哪怕只是 Linux 自动读取文件系统日志、创建一个临时文件、或者让 USB 设备重新枚举——这些微小的写入行为都可能改变磁盘上的数据。

Forensic Mode 确保 Kali 在 Live 启动期间绝对不会对任何连接的存储介质执行写操作。

启动步骤

  1. 将 Kali Live ISO 写入 U 盘
  2. 将 U 盘插入被取证电脑的 USB 口（目标电脑电源关闭状态）
  3. 重启目标电脑，从 U 盘启动
  4. 在 Kali 启动菜单选择 "Live (forensic mode)" 或 "Live system (forensic mode)"
  5. 等待 Kali 完全启动到桌面

启动完成后，Kali 的桌面和命令行都可用，但不会自动挂载任何硬盘或 USB 存储设备。

取证工作流程

第一步：断开内部硬盘（可选）

如果目标是台式机且你有权限拆机，最安全的做法是物理断开内部硬盘，然后只接在取证工作站上通过 SATA 转 USB 桥接器连接。如果不能拆机，至少确保目标电脑开机前是关闭状态——避免内存中的恶意程序运行。

第二步：内存镜像（如果目标已开）

如果目标电脑还开着（正在被攻击者控制），第一件事是Dump 内存而不是关机：

# 在目标机上（或通过 FireWire 接口）
# 如果是 Kali Live 启动的目标机，用 LiME 工具
# 如果是远程内存 dump，用 winpmem 等 Windows 工具

# 内存 dump 文件保存到取证工作站的存储介质上

内存 dump 保存了攻击者可能还在运行的恶意进程、网络连接、加密密钥等关键证据。

第三步：获取磁盘镜像

# 找到目标磁盘设备号（注意：此时只读挂载，不会修改原盘）
lsblk
# 假设目标磁盘是 /dev/sda

# 创建磁盘镜像（必须写到另一块磁盘！）
dd if=/dev/sda of=/mnt/evidence/disk-img.dd bs=4M conv=noerror,sync status=progress
# 或者用更专业的 FTK Imager

conv=noerror,sync 让 dd 在遇到坏道时继续而不是停止。

第四步：计算哈希值（证据完整性证明）

对原始磁盘和镜像分别计算 SHA256：

# 原盘哈希
sha256sum /dev/sda > /mnt/evidence/original-hash.sha256
# 镜像哈希
sha256sum /mnt/evidence/disk-img.dd >> /mnt/evidence/original-hash.sha256

两个哈希值应该完全一致。后续法律程序中，这个哈希值就是"证据未被修改"的证明。

第五步：用写阻止器挂载镜像分析

# 方式一：只读方式挂载
mkdir -p /mnt/analysis
mount -o ro /mnt/evidence/disk-img.dd /mnt/analysis

# 方式二：用 Kali 的 write-blocker（推荐，即使你犯错误也不会写入镜像）
# FTK Imager 带 write-blocker 功能

然后就可以用 Autopsy、Volatility、TestDisk 等工具正常分析了——所有操作都在只读镜像上进行。

Kali 自带的取证工具

Kali Forensics 元包预安装了：

工具用途
Autopsy磁盘取证 GUI
Volatility内存取证
The Sleuth KitAutopsy 的底层工具集
Foremost文件恢复
Scalpel文件雕刻（File Carving）
TestDisk分区恢复
PhotoRec照片/文档恢复
Bulk Extractor从磁盘镜像中提取 URL、邮箱、电话号码等
Guymager磁盘镜像创建器

规范的取证操作原则