电子取证初探——使用WinHex计算源盘哈希

原创

是羊羊羊呀
是羊羊羊呀

羊羊羊的forensic

2026年10月7日 22:10
广东
标题已修改

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

源盘哈希 vs 未挂载镜像直接算哈希（E01/dd等）

简单介绍一下区别：

1. 计算对象本质不同

源盘哈希：针对原始物理磁盘 / U 盘的全部物理扇区（原始比特流）计算，属于「物理介质级」的基准值，通常在镜像取证过程中由工具同步生成。

直接算哈希（未挂载）：针对.e01/.dd 镜像文件本身计算，属于「文件级」校验值，只要有镜像文件就能算，不需要接入源盘。

2. 核心用途

源盘哈希：用于证据同一性认定，证明 “镜像与源盘数据完全一致”，是电子证据合法性、可采性的核心支撑。

镜像文件哈希：用于镜像文件完整性校验，证明文件在传输、存储、复制过程中未损坏、未篡改。

3. 操作前提差异

• 算源盘哈希：必须物理接入原始证据盘或者使用FTK挂载目标镜像文件，通过取证工具读取扇区。
• 算镜像哈希：仅需镜像文件，无需源盘、无需挂载，普通哈希工具即可计算。

5.实操环节

环境：目标磁盘已挂载在W盘上，我们的任务是计算W盘源盘哈希

软件：WinHex

第一步：点击打开磁盘

第二步：同样的位置，点击计算哈希值选择对应的类型即可得到答案。