什么是镜像存储介质

镜像存储介质从字面理解就是存储镜像数据的载体，数据恢复中有一个“数据镜像”的概念，但是这个镜像却是实实在在的克隆体，拥有和原来数据完全一致的外观、属性和“内涵”，我们称之为“镜像文件”或镜像存储介质。

镜像存储介质从字面理解就是存储镜像数据的载体，数据恢复中有一个“数据镜像”的概念，但是这个镜像却是实实在在的克隆体，拥有和原来数据完全一致的外观、属性和“内涵”，我们称之为“镜像文件”或镜像存储介质。

镜像这个词首先被用于 Ghost 和虚拟光驱中，但是普通 Ghost 备份文件却算不上镜像，最多只是文件系统和文件的备份集，而虚拟光驱中的 ISO 文件可以算是一种镜像。那么，什么是镜像呢，它又有什么特殊的属性呢，

镜像就是数据的副本，是数据在相同位置以相同排列模式生成的拷贝。

从数据的角度，镜像和原来的数据并无差别。镜像完全可以代替原来的数据去完成相同的工作。镜像的属性可以归纳以下几点：

镜像可以用来还原原始数据

镜像可以代替原始数据工作

修改镜像数据并不表示同时修改了原始数据，两者是独立的个体，只是内容完全相同。

孪生数据

一模一样的数据我们当然见过，如两个大小为 1000 字节的内容全部是 0 的文件就是一模一样的，但是它们并非孪生，所为孪生，比如我们从磁盘 0 中的偏移 0 开始复制 1000 个字节，并用其生成一个文件。我们又从该处复制相同数目的字节，生成另一个文件。那么这两个被生成的文件就是孪生。当然我们也可以从磁盘生成第一个文件，在用第一个文件生成第二个文件，两个文件都是源自一脉，这也可以叫做孪生。

镜像文件就是典型的孪生数据，我们为数据制作镜像时，往往会同时制作多个，交给不同的工程师去处理，这样无论哪个工程师首先完成任务，都相当于完成了全部任务，因为他们手中的数据完全相同。

镜像文件格式

实际工作中，有一些经典的镜像文件格式需要我们了解，常见的有 E01、L01、RAW、IMG、001、XFC、DD 等。这些格式中有的是复杂的压缩镜像格式，有些是字节对字节的镜像格式，有些则兼备这两种特性，自由度极高。

E01

E01 是被司法部门广泛认可的证据镜像文件。Winhex 的更强大的升级版本 X-Ways 可以对其进行完全支持。E01 是一种可压缩、可还原、可加密、可分割、可动态解释的特殊镜像方式，一般应用于数据量大、保密程度很高的电子取证工作中，其压缩比甚高却不会影响证据的原始性（也可以不压缩）。目前 E01 已经成为事实上的行业标准，各取证公司都为其做了大量的工作，从结构分析，各公司的 E01 镜像略有差别。

IMG

IMG 也称为一对一镜像、Byte To Byte 镜像、RAW 镜像，是指完全不考虑文件系统和未使用空间，按照扇区或者字节逐一复制而成的镜像。生成的镜像无论是数据内容还是数据分布方式都与其来源不会有一丝一毫的差距，此种镜像使用最为广泛。

克隆也可以选择

创建磁盘镜像是 winhex 最常用、最重要的功能之一，被广泛应用于电子取证、磁盘克隆、数据备份领域。单击“创建磁盘镜像”，就会出现“磁盘镜像文件管理窗体”，注意，管理窗体所针对的操作对象就是主窗体的当前操作对象。比如我们打开的是一个分区，而且显示在最前面的窗口正式此分区的内容，那么此时的操作对象就是该分区，我们创建的镜像也是与该分区相关的。

“镜像文件格式”代表了需要创建镜像的类型，分为原始镜像、E01 证据镜像、WHX 备份三种类型。WHX 是 Winhex 作者自行定义的一种镜像方式，其作用和 E10 相仿。

可以设定镜像保存的路径和名称，注意目的分区应当保留足够的空间容纳镜像。

还可以以扇区为单位选择镜像的范围，如某硬盘前端出现大量坏扇区，如果强行进行复制不安全也花费时间，我们完全可以利用此功能从坏扇区较小的地方开始复制。

注意，“以空白字节方式保存空余簇”可以加快镜像速度，但是由于跳过了未使用簇，获得的镜像不算完整。

可以在镜像过程中指定一种哈希值计算算法，以便有效地取得并记录数据的原始校验值。

用过 winrar 的人对压缩比、镜像分割等功能都不是很陌生。压缩比越高，生成的镜像体积越小，但生成速度越慢。镜像分割则是纯粹为了方便光盘刻录工作，虽然说光驱经从“PC 大件”衰退成一个可有可无的组件，但是在很多专业场合，光盘仍是存储数字档案的唯一方式，所以我们可以理解这种功能。

对于证据镜像文件，一般会在文件前端存储取证人员或机构的相关信息及基本描述等，Winhex 作为取证家族的一员自然不会忽略了这些细节。

设定好参数后，单击“确定”按钮开始创建，当然创建时间的长短也和数据源物理载体的健康程度息息相关。

用镜像来恢复自己

有镜像制作当然就有备份还原，“恢复镜像文件”就是将已成型的镜像文件还原到磁盘中，注意，目标磁盘至少要在容量上满足镜像文件解压后的体积。