LovelyCarve——让磁盘里的线索， 更容易被看见

电子取证wiki

2026年10月14日 15:07
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

以下文章来源于猫捉鱼铃酒吧
，作者b3nguang

猫捉鱼铃酒吧
.

网络安全，内存取证，ai技巧

数字取证 · 开源工具

LovelyCarve

从一份镜像出发，
连接文件、时间与来源。

面向电子数据取证、应急响应与 CTF
的中文桌面工具

RUST   /   TAURI 2   /   VUE 3

https://github.com/LovelyTeams/LovelyCarve

一份服务器镜像摆在面前，你想知道：哪些文件值得看？某个账号留下了什么痕迹？异常发生前后，系统经历了什么？

线索可能藏在目录、数据库和日志里，也可能散落在未分配空间。费工夫的，是把它们找出来，再放回原始证据中核对。

LovelyCarve 将检材接入、文件预览、搜索、时间线、雕刻和插件分析串成一套工作流程。它提供中文界面，也提供独立 CLI，方便把重复操作交给脚本。

这篇文章，沿着一条取证流程展开

打开证据 → 找到线索
组织关联 → 回查来源

01   接入检材：认识手中的证据

02   找到线索：浏览、预览与搜索

03   还原过程：时间线与文件雕刻

04   扩展分析：把方法写成插件

05   留住依据：案件记录与 CLI

06   开始使用：走完一次分析流程

01 / 接入检材

先看清，手里到底有什么

先确认检材与分区，再进入具体文件。

取证的起点不总是一块完整硬盘。你拿到的可能是 E01 镜像、虚拟机磁盘、一个文件夹，或一份 iTunes / Finder 本地备份。

LovelyCarve 可以接入磁盘镜像、归档、AD1 逻辑镜像、iOS 本地备份、物理磁盘，以及由成员盘重组的 RAID。

进入「镜像信息」页，分区布局、文件系统、逻辑大小与完整性校验集中呈现。先建立整体认识，再决定从哪里开始分析。

图 1 · 镜像信息：分区布局、文件系统与哈希计算进度。

可以接入哪些检材？

常见镜像与文件系统

镜像格式
RAW / E01 / Ex01 / VMDK / VHD / VHDX / QCOW2 / VDI / DMG

文件系统
NTFS、ext2/3/4、FAT / exFAT、APFS、HFS+、XFS、ReFS 等

在具备相应凭据时，还可解锁 BitLocker、LUKS、VeraCrypt、FileVault 2（CoreStorage）和加密 iOS 备份，并浏览 NTFS 卷影副本。

不同格式的支持范围取决于具体变体、文件系统特性与检材完整性，具体范围可查阅项目的格式说明。

02 / 找到线索

看到文件，也读懂文件

从目录入手，用预览理解内容，再用搜索追踪相关痕迹。

先浏览：把目录、文件与预览放在一起

左侧目录树、中间文件表、右侧预览栏，采用熟悉的文件浏览布局。你可以按名称、类型、大小和时间筛选，也可以将当前目录下的子目录文件递归平铺，缩小检查范围。

预览覆盖文本、十六进制、图片、音视频、PDF、Office 文档和归档。需要持续对照时，可以把预览拆成独立窗口。

图 2 · 目录、文件与预览并排呈现，减少来回切换。

再读懂：进入数据库的表与记录

对于 SQLite、Realm，以及 PE / ELF / Mach-O / GGUF 等文件，LovelyCarve 提供结构化视图。

以浏览器历史数据库为例，SQLite 预览可以查看表和记录，自动回放配套的 WAL，并提供删除记录恢复入口。发现值得关注的记录后，仍需结合源数据库与上下文复核。

图 3 · SQLite 预览：查看表、记录与 WAL 回放提示。

用关键词搜索：从一个线索回到源文件

只有一个域名、一段路径或一个账号名时，可以用全局搜索缩小范围。搜索支持关键词与正则表达式，可按分区、标签或目录限定范围。

支持的编码包括 ASCII、UTF-8、UTF-16LE / BE 和 GBK。

结果保留命中内容、上下文、偏移与编码，支持去重、导出 CSV，并定位到源文件的相应字节。读取失败的对象会单独计数，帮助你判断搜索的实际覆盖范围。

图 4 · 从关键词命中，到源文件偏移与上下文。

03 / 还原过程

把零散发现，放回上下文

用时间组织变化，也为目录之外的内容保留核验依据。

时间线：把“发生了什么”放回时间里

找到可疑文件后，下一步通常是检查它出现的时间，以及附近还有哪些变化。时间线可以投影文件修改时间、插件事件和 NTFS USN 日志。

通过年度活动热力图与趋势下钻，选择值得细看的时间段；选中日期后，再查看事件明细、筛选内容，并定位回相关文件。

图 5 · 先看活动分布，再回查具体事件。

读懂时间字段，再解释事件关联

当前文件事件只投影修改时间；没有时区信息的本地时间不参与投影。分析前应先确认每个时间字段的含义。

文件雕刻：目录之外，再找一遍

目录里没有出现的内容，仍可能留下文件结构。文件雕刻可扫描整个镜像、指定分区或分区间隙，按签名和结构寻找 JPEG、PNG、PDF、ZIP / Office、SQLite 等 14 种格式。

扫描支持暂停、继续与取消。结果可以筛选、预览和恢复；恢复时生成 SHA-256 与 DFXML 报告，保留进一步核验所需的信息。

图 6 · 雕刻结果保留偏移与预览；图中扫描已达到结果数量上限。

怎样理解恢复结果？

雕刻受 512 字节块边界、碎片化与格式覆盖范围限制。未命中不能说明文件不存在，命中也需要复核内容完整性。

雕刻记录只保存在当前进程中，退出前应及时恢复需要的结果。

04 / 扩展分析

把你的分析方法，写成插件

先看插件能解决什么问题，再了解如何开发与接入。

遇到专有日志、特殊数据库，或一套团队常用的排查方法时，可以编写自定义插件，将解析逻辑接入文件浏览、任务管理与结果展示。下一次遇到同类检材，就能再次运行这套分析。

三种扩展方向，按任务选择

① 文件分析：读懂一种具体格式

针对日志、数据库或应用文件编写解析器，提取字段、时间与关键记录。

操作入口：需要目标文件的功能，可在文件列表右键「插件分析任务…」提交。

② 检材分析：把多处痕迹串起来

遍历检材中的相关卷与目录，读取多份文件并组织结果，适合系统信息汇总、应用痕迹整理与自定义排查流程。

操作入口：适用的功能可在「任务中心 → 快速分析」中运行。

③ 文件系统扩展：接入新的读取能力

实现文件系统识别、目录枚举、文件属性与范围读取，让宿主通过插件浏览对应的数据结构。

结果进入案件，线索保留出处

分析插件可以返回结构化产物、时间线事件和线索，由宿主保存与展示。为记录附上来源卷、文件路径及适用的偏移信息后，使用者就能回到原始文件核查，也能搜索记录、查看完整字段或导出 CSV。

内置的 linuxinfo 可以作为开发参考。下图中的登录记录，展示了插件如何组织分析结果，并保留来源信息。

图 7 · linuxinfo 示例：插件负责解析，宿主组织结果与来源回查。

开发者笔记：从解析逻辑到可复用任务

项目提供 Rust 插件 SDK。按需求实现 FileAnalyzer、EvidenceAnalyzer 或 FileSystemParser 接口，注册插件，再导出统一入口。插件通过 C ABI 与 LPP 协议和宿主协作；满足接口契约的其他原生语言也可以接入。

插件接入的四个步骤

1. 定义目标
明确要解析的文件或检材，以及需要输出的记录。

2. 编写解析
通过 SDK 读取宿主管理的只读文件或逻辑数据源，完成解析，报告进度并响应取消。

3. 声明能力
在 plugin.toml 中填写身份、版本、库路径和能力；按需配置平台、检材类型或文件匹配条件。

4. 编译接入
编译为动态库，将清单与库文件放在同一插件目录，部署到应用的插件搜索目录，重启后使用。

插件以原生动态库运行，默认由独立宿主进程加载。进程隔离用于故障隔离，不提供操作系统权限沙箱；已发现的插件被视为可信代码。部署时应确认来源，更新库文件后需重启应用。

05 / 留住依据

界面之外，还有案件与脚本

保存发现，也保存分析过程与原始来源。

案件管理：让分析过程留下记录

案件以目录保存，可登记多份检材，并保存标签、卷快照、文件索引，以及带哈希链的操作审计。

原镜像暂时不可用时，已验证的索引仍可用于浏览目录和元数据；预览、导出与哈希等字节读取操作，需要原始证据。

独立 CLI：把重复步骤交给脚本

lovelycarve-cli 复用桌面后端，支持交互浏览与 JSONL 会话。熟悉命令行后，可以将重复分析步骤组织成自己的工作流程。

CLI 交互示例

lovelycarve-cli
open \"D:\evidence\disk.E01\"
list-partitions
select-partition 1
ls

读取与核验的边界

项目采用 Rust 后端、Tauri 2 与 Vue 3。镜像、文件系统和加密容器读取器为纯 Rust 实现，证据只读打开。

整盘哈希与导出要求覆盖完整逻辑长度；容错读取中的坏区和合成零字节会记录在结果中，供分析时一并解释。

06 / 开始使用

拿一份镜像，走完一次流程

从浏览到回查，把工具能力用在一个具体问题上。

如果你正在学习电子数据取证、做 CTF 取证题，或需要检查磁盘与服务器痕迹，可以先用一份公开练习镜像熟悉操作。

用四步走完一次流程

第一步 · 新建案件
获取 Windows x64 程序，在空目录中新建案件。

第二步 · 添加检材
查看分区与校验信息，在任务中心关注索引进度。

第三步 · 找到线索
浏览文件，选一个关键词搜索，再检查相关时间段和插件记录。

第四步 · 回查与导出
回到源文件，按需导出结果与校验信息，整理分析依据。

开始前，确认运行条件

环境与构建说明

Windows 运行需要 WebView2；读取物理磁盘通常需要管理员权限，只读挂载另需 Dokany。

二维码识别与 OCR 仅在 full 构建中提供。

当前桌面开发与发布流程只在 Windows 验证；macOS / Linux 需另行构建与验证。

LovelyCarve 以 AGPL-3.0-only 许可开源。你可以从试用开始，也可以提交问题、文档修正或插件。报告读取问题时，请使用可公开的最小样本，并提供版本与复现步骤。

从一份镜像开始，
让每一条发现都有来处。

浏览 · 搜索 · 时间线 · 雕刻 · 插件

访问 LovelyCarve 项目仓库

github.com/LovelyTeams/LovelyCarve