Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 366

E01 (EnCase) 取证镜像格式

E01 (EnCase) 取证镜像格式 是什么?

E01 (EnCase) 取证镜像格式由 Guidance Software 为 EnCase 推出的取证磁盘镜像格式,以分段压缩文件保存采集数据,并嵌入元数据与校验值。

E01 又称专家证人压缩格式 (EWF),是 Windows 取证与事件响应工作流中事实上的镜像容器标准。它由 Guidance Software (现 OpenText) 为 EnCase 设计,将源介质的位对位副本保存为一个或多个编号分段 (E01、E02、...),并同时记录案件元数据、检验员姓名、MD5/SHA-1 哈希以及块级 CRC,用于检测篡改。格式支持压缩,几乎所有商业与开源取证工具 (FTK、X-Ways、Autopsy 及基于 libewf 的工具) 都能读取。当需要保证证据链、完整性验证以及不同工具间的互通时,调查人员通常选用 E01。

● 示例

  1. 01

    使用 FTK Imager 对嫌疑笔记本进行取证,并保存为 case01.E01、case01.E02、...

  2. 02

    通过 Arsenal Image Mounter 以只读方式挂载 E01,运行分流工具进行分析。

● 常见问题

E01 (EnCase) 取证镜像格式 是什么?

由 Guidance Software 为 EnCase 推出的取证磁盘镜像格式,以分段压缩文件保存采集数据,并嵌入元数据与校验值。 它属于网络安全的 取证与应急响应 分类。

E01 (EnCase) 取证镜像格式 是什么意思?

由 Guidance Software 为 EnCase 推出的取证磁盘镜像格式,以分段压缩文件保存采集数据,并嵌入元数据与校验值。

E01 (EnCase) 取证镜像格式 是如何工作的?

E01 又称专家证人压缩格式 (EWF),是 Windows 取证与事件响应工作流中事实上的镜像容器标准。它由 Guidance Software (现 OpenText) 为 EnCase 设计,将源介质的位对位副本保存为一个或多个编号分段 (E01、E02、...),并同时记录案件元数据、检验员姓名、MD5/SHA-1 哈希以及块级 CRC,用于检测篡改。格式支持压缩,几乎所有商业与开源取证工具 (FTK、X-Ways、Autopsy 及基于 libewf 的工具) 都能读取。当需要保证证据链、完整性验证以及不同工具间的互通时,调查人员通常选用 E01。

如何防御 E01 (EnCase) 取证镜像格式?

针对 E01 (EnCase) 取证镜像格式 的防御通常结合技术控制与运营实践,详见上方完整定义。

E01 (EnCase) 取证镜像格式 还有哪些其他名称?

常见的别称包括: EWF, 专家证人格式, EnCase 镜像。

● 相关术语

● 参见